„Bei mir funktioniert's“ bedeutet oft, dass eine Variable, die der Code liest, in .env.example fehlt. Dieser Skill vergleicht jede Variable, die Ihr Code liest, mit Ihrer Beispiel-Env-Datei, findet Lücken und Überbleibsel und markiert Env-Fehler, durch die Secrets nach außen gelangen.

Ihr Agent lässt einen Scanner über das Projekt laufen. Er liest JavaScript-, TypeScript-, Python-, PHP-, Ruby-, Go-, Prisma- und Compose-Dateien, Ihre Beispiel-Env-Dateien und .gitignore. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative. Der Bericht gibt niemals Werte aus Ihren echten .env-Dateien aus.

Was geprüft wird

BLOCK (vor dem Release beheben)

• E01: ein echt aussehender Secret-Wert in der Beispiel-Env-Datei

• E02: eine echte .env-Datei, die von .gitignore nicht ignoriert wird

• E03: eine nach Secret aussehende Variable mit öffentlichem Präfix (NEXT_PUBLIC_, VITE_, REACT_APP_ und ähnliche)

REVIEW (vor der Veröffentlichung prüfen)

• E11: eine Variable, die der Code liest, die aber nicht in der Beispieldatei steht

• E12: ein Eintrag in der Beispieldatei, den nichts liest

• E13: Env-Variablen werden verwendet, aber es gibt überhaupt keine Beispieldatei

• E14: derselbe Schlüssel zweimal in der Beispieldatei

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Er findet Variablennamen, die wörtlich im Code stehen. Namen, die zur Laufzeit zusammengesetzt oder über Konfigurationsbibliotheken gelesen werden, werden nicht erkannt. Jede .gitignore im Projekt und darüber bis zum Repository-Root wird so angewendet, wie git sie anwendet. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 14 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (9 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So wird es verwendet: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.