Ein einziger openaiApiKey in runtimeConfig.public, der zur Laufzeit aus NUXT_PUBLIC_OPENAI_API_KEY befüllt wird, sendet Ihren Schlüssel in den Seitendaten an jeden Besucher. Ein einziges v-html="route.query.q" auf einer Suchseite reicht aus, damit jeder einen Link verschicken kann, der Skripte im Kontext Ihrer Website ausführt. Dieser Skill findet diese und acht weitere Fehler in Nuxt und Vue vor dem Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für nuxt.config, app.config, Ihre .env-Dateien (einschließlich .env.example), alle .vue-Komponenten und -Seiten sowie die zugehörigen Composables, Plugins, Route-Middleware, Stores und Server-Routen aus. Er erkennt öffentliche runtimeConfig-Schlüssel und verfolgt Werte aus der URL (useRoute, $route, to.query in Middleware, getQuery auf dem Server) sowie aus useFetch, useAsyncData und $fetch durch die Variablen, die sie enthalten, und durch v-for-Aliasse. Er überspringt Kommentare und erkennt übliche Schutzmaßnahmen im Code (DOMPurify.sanitize, httpOnly: true, eine startsWith('/')-Prüfung, die auch // und umgekehrte Schrägstriche ablehnt, sowie eine Prüfung der Herkunft oder einer Freigabeliste). Öffentliche Schlüssel und Einstellungen wie apiBase, Firebase- und VueFire-Konfigurationen, veröffentlichbare Stripe-Schlüssel, Mapbox-pk.-Tokens und Algolia-Suchschlüssel bleiben unbeanstandet. Das standardmäßige Nuxt-Starterprojekt besteht die Prüfung ohne Befund. Der Scanner führt weder Nuxt noch Ihre App aus. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• N01: an den Browser gesendete Geheimnisse (runtimeConfig.public-Schlüssel mit geheimen Namen oder Werten, NUXT_PUBLIC_-Variablen, app.config, geheime Schlüssel in Komponenten)

• N02: direkt in nuxt.config hinterlegte Geheimnisse (runtimeConfig oder Moduloptionen, Datenbank-URLs mit Passwort)

• N03: v-html oder innerHTML mit Query-, Params- oder Hash-Daten aus der Route ohne Bereinigung

• N04: Weiterleitungen auf übergebene URL-Werte (navigateTo mit external: true, window.location, window.open, sendRedirect mit getQuery) ohne Prüfung, die // und fremde Websites ablehnt

REVIEW (vor dem Release prüfen)

• N11: clientseitige Source Maps (sourcemap true, sourcemap.client true oder vite.build.sourcemap bei aktivierten clientseitigen Maps)

• N12: CORS, das Anmeldedaten von jeder Herkunft zulässt (Routenregeln, handleCors-Optionen, Zurückkopieren des Origin-Headers)

• N13: API-Aufrufe an öffentliche Hosts über unverschlüsseltes http:// ($fetch, useFetch, baseURL, apiBase, routeRules-Proxy)

• N14: für Skripte lesbare Tokens (localStorage, useCookie oder setCookie ohne httpOnly, document.cookie)

• N15: Zugriff auf private runtimeConfig-Geheimnisse in Komponenten, Seiten oder Composables

• N16: v-html mit API-Daten, Markdown-Ausgabe oder einem Wert, dessen Quelle der Scanner nicht erkennen kann

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Nuxt-Beispielprojekt (nuxt.config.ts, .env.example, Seiten, eine Komponente, ein Composable und Server-Routen) sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Jede Datei wird einzeln analysiert: Werte, die über Props oder Stores weitergegeben werden, Prüfungen in Hilfsfunktionen anderer Dateien, Einstellungen aus Nuxt-Layern oder -Modulen und der erstellte .output-Ordner werden nicht nachverfolgt. Das Modul nuxt-security, Content-Security-Policy-Header und Schwachstellen in Abhängigkeiten werden nicht geprüft. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 31 Dateien: SKILL.md, der Scanner unter scripts/ (6 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (22 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.