client.badCertificateCallback = (cert, host, port) => true, einmal für einen Staging-Server ergänzt, oder ein API-Geheimnis in lib/config.dart: Beides landet in jeder veröffentlichten APK- und IPA-Datei. Dort kann es jeder auslesen oder sich zwischen Ihre Nutzer und Ihren Server schalten. Dieser Skill findet diese und elf weitere Flutter- und Dart-Fehler vor der Veröffentlichung und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihren Dart-Code, pubspec.yaml und pubspec.lock aus. Er liest Dart mit dessen Syntaxregeln (Kommentare, Raw-Strings, Zeichenfolgen mit dreifachen Anführungszeichen, $name- und ${...}-Interpolation), überspringt Tests, generierte Dateien und Build-Ordner und kennt übliche Schutzmechanismen: if (kDebugMode), assert, eine Navigationsfreigabeliste und ?-Platzhalter in SQL. Schlüssel, die für die Auslieferung in Apps vorgesehen sind (Firebase, Google Maps, Stripe publishable, Supabase anon, Algolia search-only), werden nicht gemeldet. Ein Supabase service_role-Schlüssel wird auch unter einem unauffälligen Namen erkannt, da der Scanner die Rolle im Schlüssel offline ausliest. Er führt weder flutter noch pub oder Ihre App aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREN (vor der Veröffentlichung beheben)

• F01: in die App kompilierte Geheimnisse (bekannte Schlüsselformate, Supabase service_role-Schlüssel, lange Werte in nach Geheimnissen benannten Feldern, feste Authorization-Header, Schlüssel in URL-Abfragen, Gemini-Schlüssel, String.fromEnvironment-Standardwerte)

• F02: badCertificateCallback oder onBadCertificate mit Rückgabe true und WebView-SSL-Fehler, bei denen immer fortgefahren wird

• F03: http://- und ws://-Server im öffentlichen Internet

• F04: über http:// oder git:// heruntergeladene Pakete

PRÜFEN (vor der Veröffentlichung prüfen)

• F11: in shared_preferences, GetStorage oder einer unverschlüsselten Hive-Box gespeicherte Tokens und Passwörter

• F12: mit print oder debugPrint ausgegebene Tokens und in Release-Builds aktivierte HTTP-Logger

• F13: Git-Abhängigkeiten ohne ref oder mit Bindung an einen Branch

• F14: any-Versionen, fehlende Versionsangaben und nach oben offene Versionsbereiche

• F15: in pubspec.yaml verbliebene dependency_overrides

• F16: WebView-JavaScript-Kanäle auf entfernten Seiten ohne Navigationsfreigabeliste

• F17: als Flutter-Assets eingebundene .env-, Schlüssel- und Zugangsdaten-Dateien

• F18: mit String-Interpolation erstelltes SQL in sqflite und drift

• F19: http:// und ws:// zu privaten Netzwerkadressen (192.168.x.x, .local, .lan, .internal) außerhalb von Debug-Builds

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Flutter-Beispielprojekt sowie der tatsächliche Scanner-Bericht zum unsicheren Beispiel

Grenzen

Er liest jede Datei für sich: Zwischen Dateien übergebene Werte, Plattformcode in android/ und ios/ (Manifest und Info.plist separat prüfen), native Plugins und bekannte Schwachstellen in Paketversionen werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 27 Dateien: SKILL.md, der Scanner in scripts/ (6 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) sowie examples/ (18 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (bei Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne zusätzliche Installation. Sie lesen lediglich Ihre Dateien: kein Netzwerkzugriff, keine Datenübertragung.