跳转到正文
skillsafebeta
← 报告库
用途分类 / 开发辅助

Create Pr Skill 安全审计

作者说它能做什么（原文）

Create a pull request in the warp repository for the current branch. Use when the user mentions opening a PR, creating a pull request, submitting changes for review, or preparing code for merge.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
3
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。发现 1 项风险
中风险

代码 PR 会执行仓库控制的脚本及全部测试

原文依据：1 处
发现了什么

技能直接要求运行 ./script/presubmit，并说明它会执行所有单元、文档和集成测试。所提供证据中没有该脚本或测试实现，因此无法核实具体执行内容。

为什么需要注意

仓库脚本、构建步骤或测试会以代理的本地权限运行；若当前分支不可信，它们可能读取可访问文件和凭据、访问网络或修改工作区。

该指令仅在 PR 含代码变更时生效，并且运行预提交检查符合创建 PR 的正常目的；不过它确实要求执行仓库内的可执行脚本，随后运行格式化、静态检查和全部测试。测试和脚本会以用户权限执行仓库代码，而本证据未提供其实现，因此无法判断实际副作用。用户可要求先查看脚本及测试配置，或限制为明确批准的检查。

SKILL.md:32来自说明文档打开原文件
### 2. Run presubmit checks for code changesIf the PR includes code changes, run the relevant presubmit checks before opening or updating it:```bash./script/presubmit````./script/presubmit` runs:- `cargo fmt` - Code formatting- `cargo clippy` - Linting with all warnings as errors- All tests (unit, doc, and integration)If the PR is documentation-only (for example, skills, markdown, or other non-code content), you do not need to run `cargo fmt` or `cargo clippy` just to open or update the PR.
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
中风险

创建 PR 前会无条件合并远程 master，永久改变当前分支

原文依据：1 处
发现了什么

技能使用“Always”要求执行 fetch 和 merge，而不先确认当前基础分支、工作区状态或用户是否希望产生合并提交。

为什么需要注意

运行后可能新增合并提交、改写工作树内容或制造冲突；即使用户只要求开 PR，当前分支也会被实质改变。

这是创建 PR 流程中的有效指令，不是示例或警告。它要求始终抓取远程内容并把 origin/master 合入当前功能分支；执行时会修改 Git 元数据，并可能产生合并提交或冲突。虽然同步基础分支与技能目的相关，但文本没有先检查目标仓库的实际基础分支、工作区状态或征求用户对合并提交的同意。用户可要求仅检查差异，并在任何合并前确认基础分支和策略。

SKILL.md:21来自说明文档打开原文件
### 1. Merge master into your feature branch**Always merge master into your feature branch before starting the review process.**```bashgit fetch origingit merge origin/master```Resolve any merge conflicts locally before opening the PR.
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

固定共同作者标记可能造成不准确的提交归属

原文依据：1 处
发现了什么

技能要求提交时加入 Warp Agent 的姓名和邮箱，但没有先验证实际贡献者身份或征得用户对该归属的同意。

为什么需要注意

若执行代理并非该身份或该实体没有作出相应贡献，永久提交历史会错误陈述作者身份，影响审查责任、合规记录及贡献统计。

这是对提交元数据的有效要求：提交时添加固定的 Warp Agent 姓名和邮箱，只在已有 Warp/Oz 共同作者标记时才避免重复。共同作者标记会影响公开贡献归属；文本没有要求核实该主体确实作出可归属的贡献，也没有要求用户批准。因此在实际贡献关系不符时可能产生误导。用户可要求仅在确认贡献者身份和同意后添加。

SKILL.md:126来自说明文档打开原文件
### 6. Include co-author attributionWhen committing changes, include attribution as a trailer at the end of the commit message only — never in the PR description — and never add a second Warp/Oz co-author trailer if the commit already has one:```Co-Authored-By: Warp Agent <agent@warp.dev>```

Skill 逻辑拆解

7 个说明模块

该技能是创建或更新 GitHub 拉取请求的操作指南；它要求先同步基础分支、运行检查、审阅差异，并通过 GitHub CLI 创建草稿 PR。

查看原文
SKILL.md:21来自说明文档打开原文件
### 1. Merge master into your feature branch**Always merge master into your feature branch before starting the review process.**```bashgit fetch origingit merge origin/master```
SKILL.md:102来自说明文档打开原文件
- **Create a new PR:**  ```bash  # With title and body  gh pr create --title "Title" --body "Description" --draft  # Auto-fill from commits  gh pr create --fill --draft

对于包含代码的 PR，该技能要求执行仓库内的 presubmit 脚本；文档称其会运行格式化、静态检查及全部测试。

查看原文
SKILL.md:32来自说明文档打开原文件
### 2. Run presubmit checks for code changesIf the PR includes code changes, run the relevant presubmit checks before opening or updating it:```bash./script/presubmit````./script/presubmit` runs:- `cargo fmt` - Code formatting- `cargo clippy` - Linting with all warnings as errors- All tests (unit, doc, and integration)If the PR is documentation-only (for example, skills, markdown, or other non-code content), you do not need to run `cargo fmt` or `cargo clippy` just to open or update the PR.

该技能建议通过 Linear MCP 查找关联任务，并把任务编号放入 PR 标题以触发自动关联。

查看原文
SKILL.md:75来自说明文档打开原文件
### 4. Link to Linear taskWhen possible, PRs should be associated with a Linear task. Use the Linear MCP tool (if available) to find corresponding issues.**Branch naming convention:**Remote branches should be prefixed with your name (e.g., `zheng/feature`, `alice/fix-bug`).**How to link PRs to Linear:**Include the issue ID in the PR title (e.g., `[WARP-1234] Add new feature`). Do this **before** creating the PR for automatic linking.

该技能要求在提交信息中加入固定的 Warp Agent 共同作者标记，但若已有 Warp/Oz 标记则不重复添加。

查看原文
SKILL.md:126来自说明文档打开原文件
### 6. Include co-author attributionWhen committing changes, include attribution as a trailer at the end of the commit message only — never in the PR description — and never add a second Warp/Oz co-author trailer if the commit already has one:```Co-Authored-By: Warp Agent <agent@warp.dev>```
从这里开始 · 工作说明SKILL.md
create-pr
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

运行命令
SKILL.md:25来自说明文档打开原文件
```bashgit fetch origin
SKILL.md:36来自说明文档打开原文件
```bash./script/presubmit
SKILL.md:57来自说明文档打开原文件
```bash# View commits in your branch (comparing against base branch)
读取了多少行
230
文件校验值（用于核对版本）
f588d58118d08afb4edaa7f2ea7c771cb88bc2118f680aae1f9f6e1028504ddd