Security audit
Security checks for vulnerabilities and agentic risk
The skill is a coherent PRD annotation tool, but its default cloud sync, hardcoded service credentials/endpoints, and browser-stored tokens need human review before installation.
Review and remove the hardcoded Supabase/JSONBin defaults before using this with private specifications. Use least-privilege tokens, avoid storing PATs in browser storage when possible, confirm repository visibility before GitHub sync, and run the injector only on a backed-up project because it can overwrite vendor assets.
### 1. 🔑 方案 1：Serverless 云端 KV 存储打点（JSONBin.io / 自定义 KV）—— 【强烈推荐 / 最快捷】
- **核心实现原理**：
- 采用 RESTful KV 读写分离架构：
- **公开只读**：`GET https://api.jsonbin.io/v3/b/{binId}/latest?_t=${Date.now()}`，访客免密秒级拉取最新规约（添加抗缓存时间戳）；
- **私密写入**：`PUT https://api.jsonbin.io/v3/b/{binId}`，Header 携带 `X-Master-Key` 鉴权更新；
- **核心优势与快捷性**：
- **秒级极速响应 (200~300ms)**：修改后瞬间保存生效，跨电脑、跨浏览器、移动端打开即时同步；- **核心实现原理**：
- 采用 RESTful KV 读写分离架构：
- **公开只读**：`GET https://api.jsonbin.io/v3/b/{binId}/latest?_t=${Date.now()}`，访客免密秒级拉取最新规约（添加抗缓存时间戳）；
- **私密写入**：`PUT https://api.jsonbin.io/v3/b/{binId}`，Header 携带 `X-Master-Key` 鉴权更新；
- **核心优势与快捷性**：
- **秒级极速响应 (200~300ms)**：修改后瞬间保存生效，跨电脑、跨浏览器、移动端打开即时同步；
- **100% 零服务器运维**：无需购买任何云主机或配置数据库，开箱即用；### 2. ☁️ 方案 2：GitHub Contents API 推送打点（Git Commit 模式）
- **核心实现原理**：
- 使用 GitHub Fine-Grained Personal Access Token (PAT)；
- 调用 `PUT https://api.github.com/repos/{owner}/{repo}/contents/{filePath}`，将打点数据以 Base64 编码自动生成正式 Git Commit 提交入库；
- **特性与局限性说明 (Trade-offs)**：
- **版本审计追踪优势**：每一次修改在 GitHub 仓库中均有完整的提交者信息与版本 Diff 历史，便于合规审计；
- **推送相对较慢 (1~3 秒)**：由于涉及 GitHub API 的 Tree 递归计算与 Commit 链打包，写入耗时相对较长；且若依赖 GitHub Pages 构建重新部署，公网生效存在几分钟流水线延迟。const cleanKey = secretKey ? secretKey.trim() : DEFAULT_MASTER_KEY;
if (!binId) {
const createResp = await fetch('https://api.jsonbin.io/v3/b', {
method: 'POST',
headers: { 'Content-Type': 'application/json', 'X-Master-Key': cleanKey, 'X-Bin-Name': `prd-data-${pageKey}`, 'X-Bin-Private': 'false' },
body: JSON.stringify(payload)const cleanKey = secretKey ? secretKey.trim() : DEFAULT_MASTER_KEY;
if (!binId) {
const createResp = await fetch('https://api.jsonbin.io/v3/b', {
method: 'POST',
headers: { 'Content-Type': 'application/json', 'X-Master-Key': cleanKey, 'X-Bin-Name': `prd-data-${pageKey}`, 'X-Bin-Private': 'false' },
body: JSON.stringify(payload)}
return createData;
}
const updateResp = await fetch(`https://api.jsonbin.io/v3/b/${binId.trim()}`, {
method: 'PUT',
headers: { 'Content-Type': 'application/json', 'X-Master-Key': cleanKey },
body: JSON.stringify(payload)const base64Content = btoa(binary);
// 3. 直接通过 PUT 请求向 GitHub 提交 Commit
const putRes = await fetch(`https://api.github.com/repos/${owner}/${repo}/contents/${filePath}`, {
method: 'PUT',
headers: {
'Authorization': `Bearer ${token.trim()}`,Detected: suspicious.exposed_secret_literal