跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Gws Script Skill 安全审计

作者说它能做什么（原文）

Manage Google Apps Script projects.

第三方安全检查结论

先别安装或运行

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

上传辅助命令可能把范围过大的本地文件发送到 Google Apps Script

原文依据：1 处
发现了什么

技能明确提供一个“上传本地文件”的辅助命令，但本次证据没有包含该辅助技能，因此无法核实它如何选择文件、是否遵守忽略规则或是否在上传前确认内容。

为什么需要注意

如果代理对包含密钥、配置、客户信息或其他非预期文件的目录使用该命令，这些内容可能被复制到远程 Apps Script 项目，并对该项目的其他协作者可见。

这段证据能说明什么

现有源码只链接到一个把本地文件上传到 Apps Script 项目的辅助技能；没有提供该技能的实现或文件选择规则，因此无法判断它会上传哪些文件、是否读取敏感文件，或是否要求确认。该描述支持存在上传能力，但不足以支持“范围过大”的具体风险。使用前可要求作者提供被引用技能，并限制为明确列出的目录和文件。

这项判断针对展示的代码和适用条件，不表示风险已经实际发生。
SKILL.md:26来自说明文档打开原文件
|---------|-------------|| [`+push`](../gws-script-push/SKILL.md) | Upload local files to an Apps Script project |
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
高风险

更新项目内容会先清除远程项目中的全部现有文件

原文依据：1 处
发现了什么

`updateContent` 不只是修改指定文件；文档明确说明它会清除项目中的所有现有文件，并把新内容保存为会被触发器、编辑器预览、Web 应用和开发模式使用的 HEAD 版本。

为什么需要注意

如果代理选错项目、提交不完整内容或在未备份时调用，现有 Apps Script 源码和清单可能被整体替换，运行中的触发器或 Web 应用也可能立即采用错误代码。

该技能将 `updateContent` 列为可调用的项目操作，并明确说明它会清除目标 Apps Script 项目的全部现有文件。只有在代理实际调用该方法时才会发生；结果会成为可供触发器、Web 应用等使用的 HEAD 内容，可能导致远程代码丢失或立即影响开发态执行。用户可要求作者增加项目 ID 与完整文件清单预览、明确确认及备份/版本检查。

SKILL.md:41来自说明文档打开原文件
  - `getMetrics` — Get metrics data for scripts, such as number of executions and active users.  - `updateContent` — Updates the content of the specified script project. This content is stored as the HEAD version, and is used when the script is executed as a trigger, in the script editor, in add-on preview mode, or as a web app or Apps Script API in development mode. This clears all the existing files in the project.  - `deployments` — Operations on the 'deployments' resource
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

3 个说明模块

该技能是 Google Apps Script 的命令行接口目录，要求系统中已有 `gws`，并把身份验证、全局参数和安全规则委托给另一个未包含在本证据中的共享技能。

查看原文
SKILL.md:8来自说明文档打开原文件
    category: "productivity"    requires:      bins:        - gws    cliHelp: "gws script --help"---
SKILL.md:16来自说明文档打开原文件
> **PREREQUISITE:** Read `../gws-shared/SKILL.md` for auth, global flags, and security rules. If missing, run `gws generate-skills` to create it.

它列出了项目读取、指标查询、部署、版本和脚本运行等远程 Apps Script 操作，并要求在调用 API 方法前查看命令结构。

查看原文
SKILL.md:38来自说明文档打开原文件
  - `create` — Creates a new, empty script project with no script files and a base manifest file.  - `get` — Gets a script project's metadata.  - `getContent` — Gets the content of the script project, including the code source and metadata for each script file.  - `getMetrics` — Get metrics data for scripts, such as number of executions and active users.  - `updateContent` — Updates the content of the specified script project. This content is stored as the HEAD version, and is used when the script is executed as a trigger, in the script editor, in add-on preview mode, or as a web app or Apps Script API in development mode. This clears all the existing files in the project.  - `deployments` — Operations on the 'deployments' resource  - `versions` — Operations on the 'versions' resource### scripts  - `run` —
SKILL.md:51来自说明文档打开原文件
Before calling any API method, inspect it:```bash# Browse resources and methodsgws script --help# Inspect a method's required params, types, and defaultsgws schema script.<resource>.<method>```Use `gws schema` output to build your `--params` and `--json` flags.

该技能还引用一个用于把本地文件上传到 Apps Script 项目的辅助技能；其具体筛选、确认和安全措施未包含在所提供的文件中。

查看原文
SKILL.md:22来自说明文档打开原文件
## Helper Commands| Command | Description ||---------|-------------|| [`+push`](../gws-script-push/SKILL.md) | Upload local files to an Apps Script project |
从这里开始 · 工作说明SKILL.md
gws-script
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

运行命令
SKILL.md:18来自说明文档打开原文件
```bashgws script <resource> <method> [flags]
SKILL.md:53来自说明文档打开原文件
```bash# Browse resources and methods
读取了多少行
63
文件校验值（用于核对版本）
bf42c070ea95ecd2991f670421535dd4b33983ff33d0364af3b656e485cc2dc5