Security audit
Security checks across malware telemetry and agentic risk
The main tool appears to do local spectral unmixing, but the package also ships under-disclosed credential, download, and geocoding utilities that do not fit that purpose.
Review before installing. The documented command appears local, but the package includes extra shared geospatial utilities with credential discovery, hardcoded fallback credentials, external network calls, and user-home caching that are not disclosed in the skill instructions. Install only if you are comfortable with those bundled capabilities or after removing the unused credential/download/geocoding modules and rotating any exposed credentials.
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
`CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer
(2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。 - **不缓存密码**：每次调用读环境或 .netrc（避免长寿命进程泄露）。 - **统一接口**：`get_earthdata_creds()` / `get_earthdata_token()` / `get_firms_key()` / `get_cma_key()` / `get_openai_key()` / `get_eog_creds()` 六个 helper。
"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),
"firms.modaps.eosdis.nasa.gov": ("FIRMS_MAP_KEY",),def _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continuedef _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continue
try:def _resolve(name: str) -> str:
"""env > 用户 secrets > .netrc > 默认. 空字符串视为未设."""
env_val = os.environ.get(name, "").strip()
if env_val:
return env_valdef _resolve_with_netrc(env_name: str, netrc_host: str, field_index: int) -> str:
"""env > 用户 secrets > .netrc > 默认."""
env_val = os.environ.get(env_name, "").strip()
if env_val:
return env_val解析顺序：
1. env: EARTHDATA_USERNAME / EARTHDATA_PASSWORD
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov
4. _DEFAULTS 兜底
"""
u = _resolve_with_netrc("EARTHDATA_USERNAME", "urs.earthdata.nasa.gov", 0)解析顺序：
1. env: EARTHDATA_TOKEN
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov account <TOKEN>
4. _DEFAULTS（通常为空）
"""
return _resolve("EARTHDATA_TOKEN")source 字段:
- ``"env"`` — 来自环境变量
- ``"user_secrets"`` — 来自 ~/.geoskill/secrets.json
- ``"netrc"`` — 来自 ~/.netrc
- ``"default"`` — 来自 _DEFAULTS（geoskill-core 硬编码兜底）
- ``"none"`` — 全部未配
"""VirusTotal findings are pending for this skill version.
Detected: suspicious.dynamic_code_execution