安全审核标准_自动化

自动扫描skills目录中的Skill文件，进行安全审计、风险评分并提供安装建议，确保安全安装策略执行。

元信息

• name: 安全审核标准_自动化
• description: 自动扫描 skills 目录，对所有 Skill 文件进行安全审计、风险评分和安装建议
• version: 1.1
• author: 系统安全策略

触发词

• 扫描技能
• 批量检查技能
• 安全审计
• 风险分析
• 安装建议
• 自动化

---

核心流程

用户请求扫描 skills 目录时，执行以下流程：

1. 自动扫描 skills/ 目录（含子目录），遍历所有 .py / .json / .js 文件
2. 提取信息：文件名、类型、大小、最后修改时间
3. 执行安全检查：
   • 检查是否包含 eval / exec / os.system / subprocess 等代码执行关键词
   • 检查是否包含 requests.get / urllib / socket 等网络访问
   • 检查是否包含 sudo / chmod / chown 等高权限操作
4. 计算评分（初始100分，每命中一处扣20分）
5. 输出风险等级：
   • 0-30分：🔴 禁止
   • 31-70分：🟡 谨慎
   • 71-100分：🟢 安全
6. 输出结构化报告：
   • 文件基本信息
   • 风险检测结果
   • 风险评分 & 等级
   • 安装建议
7. 风险评分 < 40 的文件，不输出任何安装步骤或下载链接

---

运行方式

执行脚本：

text

python3 skills/skill-vetter-safe/scan_skills.py

输出文件：

• skills/技能安全审计报告.json

---

评分标准

评分	等级	建议
71-100	🟢 安全	允许安装
31-70	🟡 谨慎	谨慎安装，建议沙箱运行
0-30	🔴 禁止	禁止安装

---

安全原则

1. 只读扫描，不修改任何 skills 文件
2. 报告不通过审核，不提供任何安装指引
3. 扫描结果永久记录，可追溯