跳转到正文
报告库
用途分类 / 其他用途

Popups Skill 安全审计

作者说它能做什么(原文)

When the user wants to create or optimize popups, modals, overlays, slide-ins, or banners for conversion purposes. Also use when the user mentions "exit intent," "popup conversions," "modal optimization," "lead capture popup," "email popup," "announcement banner," "overlay," "collect emails with a popup," "exit popup," "scroll trigger," "sticky bar," or "notification bar." Use this for any overlay

第三方安全检查结论

发现安全风险

已检查文件
2
发现的风险
2
会不会运行危险命令?检查是否下载程序后直接运行、让他人远程控制电脑,或藏起要运行的命令。未发现风险
会不会泄露文件和密钥?检查是否发送含密码或密钥的文件,以及代码里是否直接写了密钥。发现 1 项风险
中风险

建议进行跨页面行为跟踪和渐进式画像,但未明确要求在跟踪前取得同意

原文依据:5 处
发现了什么

指南建议记录弹窗浏览、表单聚焦、提交尝试、页面访问、来源和参与度,并基于访客数据个性化内容及逐步收集更多资料。虽然另有一般性的 GDPR 提醒,但没有把同意、数据最小化或保留期限明确绑定到这些跟踪活动。

为什么需要注意

如果网站直接实施这些建议,访客可能在不知情的情况下被持续识别、细分或画像;表单尝试和浏览轨迹也可能进入分析或营销系统。

该技能会建议记录弹窗浏览、表单聚焦、提交尝试等细粒度事件,并按访问页面和其他访客数据进行个性化及渐进式画像。若网站据此跨页面关联可识别访客,可能增加隐私、合规和资料滥用风险。技能虽另有一般性的清晰同意与隐私政策要求,但没有明确说明这些追踪活动何时需要同意、应收集多少数据或保存多久。用户可要求作者把同意、数据最小化和保留期限直接纳入追踪建议。

SKILL.md:285来自说明文档打开原文件
### What to Track- Popup views- Form focus- Submission attempts- Successful submissions- Close button clicks- Outside clicks- Escape key
查看另外 4 个位置
SKILL.md:377来自说明文档打开原文件
**Behavior Triggers**- Show based on user intent prediction- Trigger based on specific page visits- Return visitor vs. new visitor targeting- Show based on referral source
SKILL.md:412来自说明文档打开原文件
### Personalization Experiments**Dynamic Content**- Personalize popup based on visitor data- Show industry-specific content- Tailor content based on pages visited- Use progressive profiling (ask more over time)**Audience Targeting**- New vs. returning visitor messaging- Segment by traffic source- Target based on engagement level- Exclude already-converted visitors
SKILL.md:255来自说明文档打开原文件
### GDPR/Privacy- Clear consent language- Link to privacy policy- Don't pre-check opt-ins- Honor unsubscribe/preferences
SKILL.md:414来自说明文档打开原文件
**Dynamic Content**- Personalize popup based on visitor data- Show industry-specific content- Tailor content based on pages visited- Use progressive profiling (ask more over time)
会不会删除文件或一直在后台运行?检查是否大范围删除文件、改写磁盘,或设置自动启动。未发现风险
会不会绕过安全保护?检查是否跳过网站安全验证、开放过多文件权限,或取消操作前的确认。发现 1 项风险
中风险

移动端“返回键”触发可能阻碍访客离开页面

原文依据:2 处
发现了什么

指南把返回键列为移动端退出意图的替代触发方式,但没有说明不得取消原本的返回导航。若实现为拦截返回动作并强制显示弹窗,会与指南自身“不困住用户”的原则冲突。

为什么需要注意

访客可能无法按预期返回上一页,被迫再次关闭弹窗或重复操作;这会削弱用户对浏览器导航的控制,并可能影响无障碍操作。

这段证据能说明什么

源码仅把“返回键”列为移动端退出意图的替代触发信号,没有指示取消、延迟或改写原本的返回导航,也没有提供实现代码。因此无法据此认定弹窗会阻碍离开。相反,技能明确要求不要困住或欺骗用户并应易于关闭。不过,触发后的导航行为没有定义;用户可要求作者确认返回操作始终继续生效,且弹窗不会劫持历史记录。

这项判断针对展示的代码和适用条件,不表示风险已经实际发生。
SKILL.md:74来自说明文档打开原文件
### Exit Intent- Detects cursor moving to close/leave- Last chance to capture value- Best for: E-commerce, lead gen- Mobile alternative: Back button or scroll up
查看另外 1 个位置
SKILL.md:53来自说明文档打开原文件
### 3. Respect the User- Easy to dismiss- Don't trap or trick- Remember preferences- Don't ruin the experience
会不会误导 AI 或隐藏内容?检查工作说明是否要求 AI 忽略你的指令、干扰检查结果,或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方?检查是否强制替换推广链接或收款对象,同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

8 个说明模块

该 Skill 是一份弹窗转化优化指南,没有附带可执行脚本、安装步骤或网络传输指令。它会先读取项目中的产品营销上下文,再针对触发时机、受众、文案、频率、隐私和无障碍提出建议。

查看原文
SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered or specific to this task.
SKILL.md:301来自说明文档打开原文件
## Output Format### Popup Design- **Type**: Email capture, lead magnet, etc.- **Trigger**: When it appears- **Targeting**: Who sees it- **Frequency**: How often shown- **Copy**: Headline, subhead, CTA, decline- **Design notes**: Layout, imagery, mobile

指南明确倡导容易关闭、记住拒绝选择、排除已转化用户,并包含同意、退订和无障碍要求;这些约束能降低诱导和反复打扰风险,但是否落实取决于使用者后续实现。

查看原文
SKILL.md:53来自说明文档打开原文件
### 3. Respect the User- Easy to dismiss- Don't trap or trick- Remember preferences- Don't ruin the experience
SKILL.md:233来自说明文档打开原文件
### Frequency Capping- Show maximum once per session- Remember dismissals (cookie/localStorage)- 7-30 days before showing again- Respect user choice
SKILL.md:253来自说明文档打开原文件
## Compliance and Accessibility### GDPR/Privacy- Clear consent language- Link to privacy policy- Don't pre-check opt-ins- Honor unsubscribe/preferences### Accessibility- Keyboard navigable (Tab, Enter, Esc)- Focus trap while open- Screen reader compatible- Sufficient color contrast- Don't rely on color alone
从这里开始 · 工作说明SKILL.md
popups
连线表示工作说明包含的模块,不是实际运行顺序。点击模块可查看原文。 另有 6 个章节,可在原文件中查看。
文件与检查记录2 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围;纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • evals/evals.json已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件,没有实际运行 Skill,也没有检查它另外安装的软件包。因此,这不是“保证安全”的承诺;换了版本或使用环境,结果也可能不同。

  • SKILL.md工作说明
  • evals/evals.json配套文件
读取了多少行
550
文件校验值(用于核对版本)
5a320d004010de7d3f2a2bc96d045ea91c47af3d3abb73b5d7f83bc976825f23