skills4/skills 技能安全合规检查指南安装前后 3 步自查【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skillsskills4/skills 是 Codex 的 Agent Skills 技能目录收录了指令、脚本与资源打包成的可复用技能。本篇带你按「装前判断 → 装中动作 → 装后复查」的路线做一次 skills 安全合规检查把数据和权限风险挡在门外。1. 装前判断先看清技能的出身和边界装技能前先过三道关顺序不能乱出身 → 许可证 → 权限边界。第一关出身。目录里分三类技能可信度和稳定性递减skills/.system/下的技能会随最新版 Codex 自动装上无需操作skills/.curated/下的技能经过人工筛选是日常使用的首选来源skills/.experimental/下的技能还在试验阶段行为最少被验证装之前要加倍谨慎。第二关许可证。每个技能目录里都有独立的LICENSE.txt装前花十秒看一眼确认它的授权范围覆盖你的使用场景个人、团队还是商业项目避免装完才发现不能商用。第三关权限边界。翻一下技能的说明文档和脚本它要读什么数据、调用哪些外部服务、会不会把内容发到仓库之外。说明含糊或权限明显超出功能所需比如一个排版技能却要求读整个项目目录的直接跳过。2. 装中动作用标准命令别手动拷贝在 Codex 里用$skill-installer安装而不是自己复制文件夹。curated 技能直接按名称装即可例如安装处理 PR 评论的技能$skill-installer gh-address-commentsexperimental 技能则需要额外指定技能所在文件夹或提供对应的 GitHub 目录 URL否则安装器默认只查 curated 目录。装完之后记得重启 Codex新技能才会被加载。走标准安装流程的好处是来源可追溯——你装的是哪个目录、哪个版本回头看一眼命令就知道。3. 装后复查按这份清单过一遍技能装上后花十分钟对照下面 4 条自查任何一条不满足都建议先卸载再排查数据不外流跟踪技能实际处理的数据路径确认用户数据只用于声明的用途没有被悄悄上传到第三方服务传输与存储环节留意是否有加密。权限不越界对照 SKILL.md 声明的功能检查脚本实际申请的操作范围是否一致最小够用即可多余的要么不装要么联系作者优化。许可证无缺失技能目录内存在LICENSE.txt且内容与你的合规要求匹配。输出可审查让技能跑几个真实任务检查生成内容是否可控、有无可疑提示词或指令残留。收尾把检查变成习惯合规不是一次性的动作而是随技能版本走的例行检查——每次升级或新增技能时重走一遍上面的路线。如果你发现了漏洞或对模型输出有疑虑参考 contributing.md 中的安全章节直接发邮件到securityopenai.com团队会及时跟进处理。【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
