Security audit
Security checks across malware telemetry and agentic risk
The advertised tool is a local urban microclimate analyzer, but the package also includes under-disclosed network, download, and credential-handling code, including hardcoded Earthdata credentials.
Review this package before installing. The documented microclimate CLI appears local, but the distributed artifact contains extra modules that can contact external geocoding/download services and read user credential files. The hardcoded Earthdata username/password should be removed and rotated by the publisher, and the package should either remove the unused vendored helpers or clearly document and gate them behind explicit user configuration.
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
/ `EARTHDATA_TOKEN` / `FIRMS_MAP_KEY` / `OPENAI_API_KEY` / `CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill，
`CMA_API_KEY` / `EOG_USERNAME` / `EOG_PASSWORD` 任何一项显式设置 都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer
(2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。 - **不缓存密码**：每次调用读环境或 .netrc（避免长寿命进程泄露）。 - **统一接口**：`get_earthdata_creds()` / `get_earthdata_token()` / `get_firms_key()` / `get_cma_key()` / `get_openai_key()` / `get_eog_creds()` 六个 helper。
"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),"EOG_PASSWORD": "",
}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),}
# .netrc 解析（仅在 UNIX-like / WSL 下 ~/.netrc 可用；Windows 下
# 通常用 %USERPROFILE%\_netrc，但 .netrc 本身仍是约定俗成的名称）。
_NETRC_HOSTS = {
"urs.earthdata.nasa.gov": ("EARTHDATA_USERNAME", "EARTHDATA_PASSWORD"),
"firms.modaps.eosdis.nasa.gov": ("FIRMS_MAP_KEY",),def _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continuedef _read_netrc(host: str) -> Optional[Tuple[str, ...]]:
"""从 ~/.netrc 读指定 host 的凭证（无 token 格式）。"""
for path in (Path.home() / ".netrc", Path.home() / "_netrc"):
if not path.is_file():
continue
try:def _resolve(name: str) -> str:
"""env > 用户 secrets > .netrc > 默认. 空字符串视为未设."""
env_val = os.environ.get(name, "").strip()
if env_val:
return env_valdef _resolve_with_netrc(env_name: str, netrc_host: str, field_index: int) -> str:
"""env > 用户 secrets > .netrc > 默认."""
env_val = os.environ.get(env_name, "").strip()
if env_val:
return env_val解析顺序：
1. env: EARTHDATA_USERNAME / EARTHDATA_PASSWORD
2. ~/.geoskill/secrets.json
3. .netrc: machine urs.earthdata.nasa.gov
4. _DEFAULTS 兜底
"""
u = _resolve_with_netrc("EARTHDATA_USERNAME", "urs.earthdata.nasa.gov", 0)都优先于默认值。 - **支持 .netrc**：若 ~/.netrc 中存在 `machine urs.earthdata.nasa.gov` 行，优先取 .netrc 凭证。 - **支持用户级 secrets 文件** ``~/.geoskill/secrets.json``：Phase 7 (2026-07-27) 新增。本文件在用户 home，**不** vendor 到任何 skill， **不** push 到 GitHub；用于把个人真实凭证（NASA Earthdata bearer token 等）放在 skill 之外。
_DEFAULTS: dict[str, str] = {
"EARTHDATA_USERNAME": "ruiduobao",
"EARTHDATA_PASSWORD": "Ruiduobao123",
"EARTHDATA_TOKEN": "", # 用户级 secrets.json 提供（不走默认值以免推到 GitHub）
"FIRMS_MAP_KEY": "",
"CMA_API_KEY": "",
"OPENAI_API_KEY": "",VirusTotal findings are pending for this skill version.
Detected: suspicious.dynamic_code_execution