跳转到正文
skillsafebeta
← 报告库
用途分类 / 开发辅助

Domain Modeling Skill 安全审计

作者说它能做什么（原文）

Build and sharpen a project's domain model. Use when discussing codebase terminology, writing or editing a CONTEXT.md, or recording or editing an ADR.

第三方安全检查结论

发现安全风险

已检查文件
4
发现的风险
1
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
中风险

仅讨论术语也可能触发未经逐次确认的仓库文件写入

原文依据：3 处
发现了什么

Skill 的适用范围包含一般的代码库术语讨论，但它同时要求概念一旦明确就立即更新 CONTEXT.md；如果文件不存在，还要求创建它。这些指令没有要求在每次写入前展示补丁或取得明确确认。

为什么需要注意

在仅希望讨论或探索领域模型时，用户的仓库可能被创建或修改文档。尚未最终确认的表述也可能成为后续开发者或 AI 代理依赖的正式词汇。

该风险有源码支持。Skill 可在用户仅讨论代码库术语时启用，却要求术语一旦确定就立即修改 `CONTEXT.md`，文件不存在时还会创建它；指令未要求在写入前逐次征得同意。因此，普通讨论可能造成用户仓库中的持久变更。用户可要求作者将讨论模式设为只读，并仅在用户明确要求后展示并应用补丁。

SKILL.md:3来自说明文档打开原文件
name: domain-modelingdescription: Build and sharpen a project's domain model. Use when discussing codebase terminology, writing or editing a CONTEXT.md, or recording or editing an ADR.---
查看另外 2 个位置
SKILL.md:40来自说明文档打开原文件
Create files lazily: only when you have something to write. If no `CONTEXT.md` exists, create one when the first term is resolved. If no `docs/adr/` exists, create it when the first ADR is needed.
SKILL.md:60来自说明文档打开原文件
### Update CONTEXT.md inlineWhen a term is resolved, update `CONTEXT.md` right there. Don't batch these up: capture them as they happen. Use the format in [CONTEXT-FORMAT.md](./CONTEXT-FORMAT.md).
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

2 个说明模块

该 Skill 用于在讨论项目术语和领域边界时核对现有词汇表与代码，并在概念明确后记录领域语言；其声明用途也包括编写或编辑 CONTEXT.md 和 ADR。

查看原文
SKILL.md:3来自说明文档打开原文件
name: domain-modelingdescription: Build and sharpen a project's domain model. Use when discussing codebase terminology, writing or editing a CONTEXT.md, or recording or editing an ADR.---
SKILL.md:46来自说明文档打开原文件
When the user uses a term that conflicts with the existing language in `CONTEXT.md`, call it out immediately. "Your glossary defines 'cancellation' as X, but you seem to mean Y. Which is it?"
SKILL.md:58来自说明文档打开原文件
When the user states how something works, check whether the code agrees. If you find a contradiction, surface it: "Your code cancels entire Orders, but you just said partial cancellation is possible. Which is right?"

CONTEXT.md 被限定为领域词汇表，不应包含实现细节；在多上下文仓库中，Skill 会通过 CONTEXT-MAP.md 选择目标上下文，并在无法判断时询问用户。

查看原文
SKILL.md:64来自说明文档打开原文件
`CONTEXT.md` should be totally devoid of implementation details. Do not treat `CONTEXT.md` as a spec, a scratch pad, or a repository for implementation decisions. It is a glossary and nothing else.
CONTEXT-FORMAT.md:56来自说明文档打开原文件
- If `CONTEXT-MAP.md` exists, read it to find contexts- If only a root `CONTEXT.md` exists, single context- If neither exists, create a root `CONTEXT.md` lazily when the first term is resolvedWhen multiple contexts exist, infer which one the current topic relates to. If unclear, ask.

ADR 仅在难以逆转、缺少背景会令人意外、且确有取舍时才建议创建；编号通过扫描现有 ADR 后递增。

查看原文
SKILL.md:68来自说明文档打开原文件
Only offer to create an ADR when all three are true:1. **Hard to reverse**: the cost of changing your mind later is meaningful2. **Surprising without context**: a future reader will wonder "why did they do it this way?"3. **The result of a real trade-off**: there were genuine alternatives and you picked one for specific reasonsIf any of the three is missing, skip the ADR. Use the format in [ADR-FORMAT.md](./ADR-FORMAT.md).
ADR-FORMAT.md:27来自说明文档打开原文件
Scan `docs/adr/` for the highest existing number and increment by one.
从这里开始 · 工作说明SKILL.md
domain-modeling
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。

文件引用关系图

2 处引用
哪些文件发起引用引用了什么
连线表示真实的文件引用，不是运行顺序。点击节点可高亮相关连线，并查看具体文件和原文位置。虚线表示还有文件需要定位。
文件与检查记录4 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • ADR-FORMAT.md已纳入全文
  • CONTEXT-FORMAT.md已纳入全文
  • agents/openai.yaml已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • ADR-FORMAT.md配套文件
  • CONTEXT-FORMAT.md配套文件
  • SKILL.md工作说明
  • agents/openai.yaml配套文件
读取了多少行
188
文件校验值（用于核对版本）
b5b5731ffa238e84789ef3f85f33fffa73dbfba895a8cfdb8e3b21993d3bf6b3