BC capacitor-security
Аудит и усиление безопасности на уровне приложения для приложений Capacitor. Используйте, когда пользователь хочет провести обзор безопасности, проверку OWASP MASVS или исправить результаты пентеста; запускает сканер Capgo (`npx @capgo/capgo-sec scan`, `capsec`, идентификаторы правил, такие как SEC001, NET003, CAP004); находит ключи API или значения `.env` в веб-пакете; сохраняет токены в `@capacitor/preferences` или `localStorage`; нуждается в хранении Keychain/Keystore, прикреплении сертификатов, CSP или обнаружении root/jailbreak; или видит ошибки `server.cleartext`, `allowNavigation`, `webContentsDebuggingEnabled`, `NSAllowsArbitraryLoads`, `android:usesCleartextTraffic`, `android:allowBackup`, `net::ERR_CLEARTEXT_NOT_PERMITTED` или ATS "requires the use of a secure connection". Не используйте для усиления настроек сборки Xcode (используйте capacitor-ios-security-hardening), настройки deep link (capacitor-deep-linking), обзора App Store (capacitor-apple-review-preflight), проектирования CI (capacitor-ci-cd) или настройки live-обновлений (capgo-live-updates).
машинный переводПоказать оригиналСкрыть оригинал«App-level security audit and hardening for Capacitor apps. Use when th…»
App-level security audit and hardening for Capacitor apps. Use when the user wants a security review, OWASP MASVS check, or pentest fixes; runs the Capgo scanner (`npx @capgo/capgo-sec scan`, `capsec`, rule IDs like SEC001, NET003, CAP004); finds API keys or `.env` values in the web bundle; stores tokens in `@capacitor/preferences` or `localStorage`; needs Keychain/Keystore storage, certificate pinning, CSP, or root/jailbreak detection; or sees `server.cleartext`, `allowNavigation`, `webContentsDebuggingEnabled`, `NSAllowsArbitraryLoads`, `android:usesCleartextTraffic`, `android:allowBackup`, `net::ERR_CLEARTEXT_NOT_PERMITTED`, or ATS "requires the use of a secure connection" errors. Do not use for Xcode build-setting hardening (use capacitor-ios-security-hardening), deep link setup (capacitor-deep-linking), App Store review (capacitor-apple-review-preflight), CI design (capacitor-ci-cd), or live update setup (capgo-live-updates).
Аудит и усиление безопасности на уровне приложения для приложений Capacitor.
Как процесс C 63/100 · Есть пробелы — слабые места: результат и критерий готовности, входы и предусловия, повторный запуск
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 2
✓ Критических и высоких находок нет
Средние и низкие: 2
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:3Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)description: App-level security audit and hardening for Capacitor apps. Use when the user wants a security review, OWASP MASVS check, or pentest fixes; runs the Capgo scanner (`npx @capgo/capgo-sec sc
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:13Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- The user asks for a security audit, OWASP Mobile Top 10 / MASVS review, or wants to fix pentest findings.
Просканировано файлов: 7. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- заметка
edit-residueв тексте есть пометки об устаревшем (строки 98): проверьте, не остались ли старые правила рядом с новыми — полная проверка читает текст на противоречия
Процессный рейтинг: все десять параметров 63/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 60Инструменты и файлы. Используются инструменты (web, node), но во frontmatter они не объявлены
- 100Шаги. Шагов: 31
- 100Когда включается. Сказано, когда применять и когда не применять
- 100Ошибки и развилки. Развилок: 1, есть раздел про ошибки
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 2285 токенов
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +3Длина description 944: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- -2Ссылки на localhost: у другого пользователя не заработает
- +1Лицензия не указана
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +4Структура: 8 заголовков
- +3Пошаговые инструкции: 31 пунктов
- +4Есть примеры (2 блоков кода)
- +4Справочные файлы упоминаются в инструкциях (5 из 5)
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 87.