Security audit
Security checks across malware telemetry and agentic risk
The main crop-stress tool appears local and purpose-aligned, but the package also ships under-disclosed credential and network helper code, including hardcoded Earthdata credentials and automatic reads from user secret files.
Review this package before installing. The visible crop-stress command is local, but the shipped helper code can access local credential stores and contains exposed Earthdata credentials. Install only if you trust the publisher and are comfortable with those bundled capabilities, or remove the unused credential/network helpers first.
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
`CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer
(2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。 - **不缓存密码**：每次调用读环境或 .netrc（避免长寿命进程泄露）。 - **统一接口**：`get_earthdata_creds()` / `get_earthdata_token()` / `get_firms_key()` / `get_cma_key()` / `get_openai_key()` / `get_eog_creds()` 六个 helper。
"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),
"firms.modaps.eosdis.nasa.gov": ("FIRMS_MAP_KEY",),def _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continuedef _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continue
try:def _resolve(name: str) -> str:
"""env > 用户 secrets > .netrc > 默认. 空字符串视为未设."""
env_val = os.environ.get(name, "").strip()
if env_val:
return env_valdef _resolve_with_netrc(env_name: str, netrc_host: str, field_index: int) -> str:
"""env > 用户 secrets > .netrc > 默认."""
env_val = os.environ.get(env_name, "").strip()
if env_val:
return env_val解析顺序：
1. env: EARTHDATA_USERNAME / EARTHDATA_PASSWORD
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov
4. _DEFAULTS 兜底
"""
u = _resolve_with_netrc("EARTHDATA_USERNAME", "urs.earthdata.nasa.gov", 0)解析顺序：
1. env: EARTHDATA_TOKEN
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov account <TOKEN>
4. _DEFAULTS（通常为空）
"""
return _resolve("EARTHDATA_TOKEN")都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。
_DEFAULTS: dict[str, str] = {
"EARTHDATA_USERNAME": "ruiduobao",
"EARTHDATA_PASSWORD": "Ruiduobao123",
"EARTHDATA_TOKEN": "", # 用户级 secrets.json 提供（不走默认值以免推到 GitHub）
"FIRMS_MAP_KEY": "",
"CMA_API_KEY": "",
"OPENAI_API_KEY": "",# 用户级 secrets 文件位置（在用户 home，**不** vendor 到 skill 内部）。 # Phase 7 (2026-07-27): 包含 NASA Earthdata bearer token 等真实凭证。 USER_SECRETS_PATH = Path.home() / ".geoskill" / "secrets.json" # 是否已加载过用户级 secrets（避免每次调用都重读） _user_secrets_loaded = False
def load_user_secrets(path: Optional[Path] = None, *, force: bool = False) -> bool:
"""从 ``~/.geoskill/secrets.json`` 加载用户级凭证到 _DEFAULTS.
Phase 7 (2026-07-27): 第一次调用自动加载（lazy）。之后每个 helper
调用也会 lazy 加载，除非显式 ``force=True`` 强制重读。返回 True解析顺序：
1. env: EARTHDATA_USERNAME / EARTHDATA_PASSWORD
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov
4. _DEFAULTS 兜底
"""VirusTotal findings are pending for this skill version.
Detected: suspicious.dynamic_code_execution