Ein einziger VITE_OPENAI_API_KEY in .env oder ein einziges define: { 'process.env': env } nach loadEnv(mode, process.cwd(), '') bringt Ihre geheimen Schlüssel in den JavaScript-Code, den jeder Besucher herunterlädt. Dieser Skill findet diese und sieben weitere Vite-Fehler vor dem Build oder Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre vite.config-Dateien, Ihre .env-Dateien (einschließlich .env.example) und die vite-Skripte in package.json aus. Er liest den envPrefix jeder Konfiguration und wendet ihn auf die .env-Dateien des jeweiligen Projekts an. Präfixe wie APP_ oder TAURI_ werden somit anhand der Variablen geprüft, die sie tatsächlich öffentlich zugänglich machen. Er überspringt Kommentare, unterscheidet Einstellungen von Zeichenfolgen, die sie lediglich erwähnen, und beanstandet keine öffentlichen Schlüssel (VITE_FIREBASE_API_KEY, VITE_SUPABASE_ANON_KEY, veröffentlichbare Stripe-Schlüssel). Das standardmäßige Projekt aus npm create vite besteht die Prüfung ohne Befund. Der Scanner führt weder Vite noch Ihre App aus. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• V01: Geheimnisse in Variablen, die Vite dem Browser zugänglich macht (geheime Namen, KI-API-Schlüssel, geheime Stripe-Schlüssel oder Supabase-service_role-Schlüssel, Kopien wie VITE_DB="${DB_PASSWORD}")

• V02: ein leerer oder sehr kurzer envPrefix oder ein Präfix, das auf Server- und CI-Geheimnisse zutrifft (APP_, TAURI_, GITHUB_, AWS_)

• V03: define, das process.env, das Ergebnis von loadEnv(mode, root, '') oder eine geheime Variable bzw. einen geheimen Wert einfügt

• V04: server.fs.strict: false oder server.fs.allow mit dem Stammverzeichnis des Dateisystems oder dem Benutzerverzeichnis

REVIEW (vor dem Release prüfen)

• V11: Entwicklungs- oder Vorschauserver auf allen Schnittstellen (host: true, 0.0.0.0, eine LAN-Adresse, vite --host)

• V12: Produktions-Source-Maps in App-Builds (build.sourcemap oder rollupOptions.output.sourcemap mit true oder 'inline')

• V13: für jede Website offenes CORS (cors: true, origin '*' oder /.*/, Access-Control-Allow-Origin: *)

• V14: allowedHosts: true oder legacy.skipWebSocketTokenCheck: true

• V15: eine server.fs.deny-Liste, die die Standardwerte ersetzt, ohne .env-Einträge zu enthalten

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Vite-Beispielprojekt (vite.config.ts, .env.example, package.json) sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Jede Datei wird so analysiert, wie sie geschrieben ist: Durch Funktionen erzeugte oder aus anderen Dateien importierte Optionen und Kommandozeilenoptionen außer --host werden nicht nachverfolgt. Client-Quellcode wird nicht gelesen und die installierte Vite-Version wird nicht geprüft. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 13 Dateien: SKILL.md, der Scanner unter scripts/ (4 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (6 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.