Ist nodeIntegration aktiviert oder ipcRenderer für die Seite zugänglich, reicht eine einzige XSS-Schwachstelle in einer Electron-App aus, um die vollständige Kontrolle über den Computer deines Nutzers zu erlangen. Dieser Skill prüft deine App vor der Veröffentlichung anhand der wichtigsten Punkte der offiziellen Electron-Sicherheitscheckliste und erklärt, wie du jeden Befund behebst.

Dein Agent führt einen Scanner für den Code des Hauptprozesses, Preload-Skripte, HTML-Seiten und package.json aus. Kommentare werden übersprungen. Er analysiert webPreferences und Kommandozeilenoptionen, die über contextBridge bereitgestellten Funktionen der Preload-Skripte und den Weg von URLs zu shell.openExternal. Außerdem prüft er projektweit, ob Code die Navigation und neue Fenster beschränkt und ob die Seiten eine Content Security Policy haben. Electron wird dabei nie ausgeführt. Der Scanner liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Lösung.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• E01: aktivierte nodeIntegration (auch in Workern, Unterframes und webview-Tags)

• E02: contextIsolation auf false

• E03: webSecurity auf false, allowRunningInsecureContent oder disable-web-security

• E04: vollständiger ipcRenderer, Weiterleitung über beliebige Kanäle oder Node-Module über contextBridge zugänglich

REVIEW (vor der Veröffentlichung prüfen)

• E11: deaktivierte Renderer-Sandbox (sandbox: false, --no-sandbox)

• E12: Seiten werden über unverschlüsseltes HTTP geladen

• E13: keine Beschränkung über setWindowOpenHandler oder will-navigate in der gesamten App

• E14: shell.openExternal mit ungeprüfter URL

• E15: geladene Seiten ohne Content Security Policy

• E16: Electron 41 oder älter in package.json

• E17: das remote-Modul

Das ist enthalten

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererer Lösung für jede Regel

• Eine unsichere und eine sichere Beispiel-App (main, preload, Seite, package.json) sowie der tatsächliche Scannerbericht zur unsicheren App

Grenzen

Der Scanner liest Code als Text: zur Laufzeit erzeugte Einstellungen, IPC-Handler, Berechtigungs-Handler, Fuses und entfernte Seiten werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 14 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Lösung) und examples/ (8 Beispieldateien sowie report.md mit der tatsächlichen Scannerausgabe zum unsicheren Beispiel).

So verwendest du den Skill: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (bei Claude Code: ~/.claude/skills/). Bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff und keine Datenübertragung.