跳转到正文
skillsafebeta
← 报告库
用途分类 / 文档处理

Recipe Create Expense Tracker Skill 安全审计

作者说它能做什么（原文）

Set up a Google Sheets spreadsheet for tracking expenses with headers and initial entries.

第三方安全检查结论

先别安装或运行

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
高风险

向未经用户确认的固定邮箱授予持续读取权限

原文依据：2 处
发现了什么

流程把新表格直接共享给 `manager@company.com`，但该地址并非由用户提供，也没有确认步骤。读取权限会附着在云端文件上；如果用户以后继续记录支出，该收件人可能持续看到新增内容。

为什么需要注意

若固定地址不是用户实际授权的经理，当前示例记录以及未来可能包含金额、行程、供应商或其他财务信息的记录会被披露给错误账号。

该步骤会主动向固定地址 `manager@company.com` 授予新建云端表格的读取权限。技能的用途只说明创建支出追踪表，没有证据表明用户提供或确认了该收件人。执行后，该账户可能持续读取表内现有及以后新增的敏感支出信息。用户可要求作者改为运行时提供并确认邮箱，或默认不共享。

SKILL.md:28来自说明文档打开原文件
3. Add first entry: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["2025-01-15", "Travel", "Flight to NYC", "450.00"]'`4. Share with manager: `gws drive permissions create --params '{"fileId": "SHEET_ID"}' --json '{"role": "reader", "type": "user", "emailAddress": "manager@company.com"}'`
查看另外 1 个位置
SKILL.md:21来自说明文档打开原文件
Set up a Google Sheets spreadsheet for tracking expenses with headers and initial entries.
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

固定示例支出会作为真实行写入账目表

原文依据：2 处
发现了什么

流程不是建立空模板，而是追加一笔日期、行程和金额均固定的“Flight to NYC”支出。该行没有“示例”标记，也未要求用户确认它代表真实交易。

为什么需要注意

如果该表被用于报销、预算汇总或管理报告，450 美元的虚构记录可能被当作实际支出，造成余额、报表或业务判断错误。

该指令会把一笔固定的航班支出作为普通数据行追加到用户的账目表，而不只是展示命令示例。虽然描述提到“initial entries”，但没有将此行标记为示例或要求用户确认；若用户把表当作真实账本，可能造成错误记录、汇总和决策。用户可要求仅写表头，或在写入前明确确认并标注示例数据。

SKILL.md:27来自说明文档打开原文件
2. Add headers: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["Date", "Category", "Description", "Amount"]'`3. Add first entry: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["2025-01-15", "Travel", "Flight to NYC", "450.00"]'`4. Share with manager: `gws drive permissions create --params '{"fileId": "SHEET_ID"}' --json '{"role": "reader", "type": "user", "emailAddress": "manager@company.com"}'`
查看另外 1 个位置
SKILL.md:21来自说明文档打开原文件
Set up a Google Sheets spreadsheet for tracking expenses with headers and initial entries.

Skill 逻辑拆解

1 个说明模块

该 Skill 要求使用已获授权的 Google Workspace 命令行工具和 Sheets、Drive 技能；执行流程会在用户的 Google 账号中创建真实的云端电子表格，而不只是生成本地模板。

查看原文
SKILL.md:9来自说明文档打开原文件
    domain: "productivity"    requires:      bins:        - gws      skills:        - gws-sheets        - gws-drive---
SKILL.md:25来自说明文档打开原文件
1. Create spreadsheet: `gws drive files create --json '{"name": "Expense Tracker 2025", "mimeType": "application/vnd.google-apps.spreadsheet"}'`2. Add headers: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["Date", "Category", "Description", "Amount"]'`

创建后，流程会写入固定的表头和一条固定示例支出，然后为固定邮箱创建读取权限。没有显示确认收件人或将示例数据标记为非真实记录的步骤。

查看原文
SKILL.md:26来自说明文档打开原文件
1. Create spreadsheet: `gws drive files create --json '{"name": "Expense Tracker 2025", "mimeType": "application/vnd.google-apps.spreadsheet"}'`2. Add headers: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["Date", "Category", "Description", "Amount"]'`3. Add first entry: `gws sheets +append --spreadsheet SHEET_ID --range 'Sheet1' --values '["2025-01-15", "Travel", "Flight to NYC", "450.00"]'`4. Share with manager: `gws drive permissions create --params '{"fileId": "SHEET_ID"}' --json '{"role": "reader", "type": "user", "emailAddress": "manager@company.com"}'`
从这里开始 · 工作说明SKILL.md
recipe-create-expense-tracker
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
读取了多少行
30
文件校验值（用于核对版本）
e007afec8540127c3626e2f58698bf7ed91c0732d4057e0aa401186c3877e39d