跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Recipe Create Classroom Course Skill 安全审计

作者说它能做什么（原文）

Create a Google Classroom course and invite students.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
1
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 1 项风险
中风险

硬编码示例值可能导致创建错误课程并邀请非预期收件人

原文依据：3 处
发现了什么

可执行步骤直接使用固定课程资料和 `student@school.edu`，没有要求先用用户确认的课程 ID、课程属性和学生地址替换这些值，也没有在外部写入前设置确认点。

为什么需要注意

如果代理把命令当作可直接执行的指令，当前 Google Classroom 账号可能出现非预期课程，并向错误地址发送邀请；收件人可能获知课程存在，并在接受邀请后取得学生访问权限。

这是面向执行的步骤，而非警告或测试。第 24 行可在当前授权账号下直接创建名为“Introduction to CS”的课程；若代理照抄，示例属性会成为真实数据。第 25 行还要求发送学生邀请，但 `COURSE_ID` 和邮箱明显是待替换占位值，因此邀请通常会失败；若这些值碰巧有效，则可能写入错误课程或联系非预期账号。来源没有要求在创建或邀请前展示最终值并取得用户确认。用户可要求作者强制替换并确认课程属性、课程 ID 和收件人后再执行。

SKILL.md:24来自说明文档打开原文件
1. Create the course: `gws classroom courses create --json '{"name": "Introduction to CS", "section": "Period 1", "room": "Room 101", "ownerId": "me"}'`2. Invite a student: `gws classroom invitations create --json '{"courseId": "COURSE_ID", "userId": "student@school.edu", "role": "STUDENT"}'`3. List enrolled students: `gws classroom courses students list --params '{"courseId": "COURSE_ID"}' --format table`
查看另外 2 个位置
SKILL.md:20来自说明文档打开原文件
Create a Google Classroom course and invite students.
SKILL.md:25来自说明文档打开原文件
1. Create the course: `gws classroom courses create --json '{"name": "Introduction to CS", "section": "Period 1", "room": "Room 101", "ownerId": "me"}'`2. Invite a student: `gws classroom invitations create --json '{"courseId": "COURSE_ID", "userId": "student@school.edu", "role": "STUDENT"}'`3. List enrolled students: `gws classroom courses students list --params '{"courseId": "COURSE_ID"}' --format table`
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

1 个说明模块

该 Skill 要求使用已登录的 Google Workspace CLI 和 Classroom 集成，因此实际效果取决于当前账号已有的 Classroom 权限。

查看原文
SKILL.md:9来自说明文档打开原文件
    domain: "education"    requires:      bins:        - gws      skills:        - gws-classroom---

流程会在当前账号下创建一个名为“Introduction to CS”的课程，并把课程所有者设为当前用户。

查看原文
SKILL.md:24来自说明文档打开原文件
1. Create the course: `gws classroom courses create --json '{"name": "Introduction to CS", "section": "Period 1", "room": "Room 101", "ownerId": "me"}'`2. Invite a student: `gws classroom invitations create --json '{"courseId": "COURSE_ID", "userId": "student@school.edu", "role": "STUDENT"}'`

流程随后向指定邮箱发出学生邀请，并查询课程中已注册的学生；这不是只读示例流程。

查看原文
SKILL.md:25来自说明文档打开原文件
1. Create the course: `gws classroom courses create --json '{"name": "Introduction to CS", "section": "Period 1", "room": "Room 101", "ownerId": "me"}'`2. Invite a student: `gws classroom invitations create --json '{"courseId": "COURSE_ID", "userId": "student@school.edu", "role": "STUDENT"}'`3. List enrolled students: `gws classroom courses students list --params '{"courseId": "COURSE_ID"}' --format table`
从这里开始 · 工作说明SKILL.md
recipe-create-classroom-course
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
读取了多少行
28
文件校验值（用于核对版本）
921fd83aac2111861c9f8830031c76c15a535e5add23510bec5fd7dc22f40ced