source "https://deploy:[email protected]" hinterlegt das Passwort Ihres Gem-Servers in jedem Klon des Repositorys. Ein git_source mit "https://#{ENV["GITHUB_TOKEN"]}@github.com/..." wirkt sicher, bis Bundler das tatsächliche Token in Gemfile.lock schreibt. Dieser Skill findet diese und neun weitere Bundler-Fehler vor dem nächsten bundle install und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre Gemfiles (Gemfile, gems.rb, Gemfile.next, gemfiles/*.gemfile), Gemfile.lock, .gemspec-Dateien und die .bundle/config des Projekts aus. Er überspringt Ruby-Kommentare, verfolgt #{...} innerhalb von Zeichenfolgen, kennt Bundlers Kurzformen github:, gist:, bitbucket: und git_source sowie dessen source-, git- und path-Blöcke, unterscheidet Anwendungen von Gems und liest .gitignore, um ignorierte .bundle/config- oder Gemfile.lock-Dateien korrekt zu bewerten. Er führt weder Ruby noch Bundler aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Passwörter und Tokens werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREN (vor der Veröffentlichung beheben)

• G01: Gem-Quellen, Spiegelserver und Git-Gems über http:// oder git:// sowie ssl_verify_mode 0

• G02: Passwörter und Tokens in Quell- oder Git-URLs in Gemfile, einer gemspec oder Gemfile.lock

• G03: Gem-Server-Zugangsdaten in einer .bundle/config, die nicht durch .gitignore ignoriert wird

PRÜFEN (vor der Veröffentlichung prüfen)

• G11: Git- und GitHub-Gems ohne ref: oder tag: oder mit einem veränderlichen ref (einem Branchnamen)

• G12: mehr als eine globale source-Zeile (Dependency Confusion; Bundler 4 lehnt eine solche Gemfile ab)

• G13: eine Anwendung ohne eingecheckte Gemfile.lock

• G14: Laufzeitabhängigkeiten in gemspec ohne Versionsangabe

• G15: path-Gems außerhalb des Projekts

• G16: Bundler-Plugins ohne genaue Versionsangabe

• G17: Tokens aus ENV in Git-URLs, die Bundler in Gemfile.lock kopiert

• G18: in .bundle/config deaktivierte Gem-Prüfsummenprüfungen oder eine Bundler-4-Lockdatei ohne CHECKSUMS-Abschnitt

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt (eine App, eine Admin-App und eine Abrechnungs-Engine mit Gemfiles, Lockdateien, einer gemspec und .bundle/config) sowie der tatsächliche Scanner-Bericht zum unsicheren Beispiel

Grenzen

Er liest jede Datei so, wie sie vorliegt: Umgebungswerte werden nicht aufgelöst, ~/.bundle/config, BUNDLE_-Umgebungsvariablen und CI-Einstellungen werden nicht gelesen und Gem-Server nicht kontaktiert. Rails-Einstellungen und Anwendungscode werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 23 Dateien: SKILL.md, der Scanner in scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) sowie examples/ (15 Beispieldateien sowie report.md, die tatsächliche Scanner-Ausgabe für das unsichere Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (bei Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne zusätzliche Installation. Sie lesen lediglich Ihre Dateien: kein Netzwerkzugriff, keine Datenübertragung.