Security audit
Security checks across malware telemetry and agentic risk
The documented raster-resampling tool looks mostly local, but the package also ships undisclosed credential and online geocoding helpers that do not fit the stated purpose.
Review this before installing. The main entrypoint appears to perform local raster resampling, but the package should remove or clearly isolate the credential, AOI/geocoding, and download helpers. Do not use it in an environment with sensitive ~/.netrc or ~/.geoskill/secrets.json files unless you are sure only the main resampling script will be invoked. The embedded Earthdata credential should be treated as exposed and rotated by its owner.
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
`CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer
(2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。 - **不缓存密码**：每次调用读环境或 .netrc（避免长寿命进程泄露）。 - **统一接口**：`get_earthdata_creds()` / `get_earthdata_token()` / `get_firms_key()` / `get_cma_key()` / `get_openai_key()` / `get_eog_creds()` 六个 helper。
"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),
"firms.modaps.eosdis.nasa.gov": ("FIRMS_MAP_KEY",),def _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continuedef _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continue
try:def _resolve(name: str) -> str:
"""env > 用户 secrets > .netrc > 默认. 空字符串视为未设."""
env_val = os.environ.get(name, "").strip()
if env_val:
return env_valdef _resolve_with_netrc(env_name: str, netrc_host: str, field_index: int) -> str:
"""env > 用户 secrets > .netrc > 默认."""
env_val = os.environ.get(env_name, "").strip()
if env_val:
return env_val解析顺序：
1. env: EARTHDATA_USERNAME / EARTHDATA_PASSWORD
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov
4. _DEFAULTS 兜底
"""
u = _resolve_with_netrc("EARTHDATA_USERNAME", "urs.earthdata.nasa.gov", 0)VirusTotal findings are pending for this skill version.
Detected: suspicious.dynamic_code_execution