При включённом nodeIntegration или доступе страницы к ipcRenderer одной XSS-уязвимости в приложении Electron достаточно, чтобы получить полный контроль над компьютером пользователя. Этот навык проверяет приложение по основным пунктам официального контрольного списка безопасности Electron перед выпуском и объясняет, как устранить каждую найденную проблему.

Ваш агент запускает сканер для кода основного процесса, скриптов preload, HTML-страниц и package.json. Комментарии пропускаются. Сканер анализирует webPreferences и параметры командной строки, то, что скрипты preload предоставляют через contextBridge, передачу URL в shell.openExternal, а также проверяет во всём проекте, ограничивает ли какой-либо код навигацию и открытие новых окон и задана ли для страниц политика безопасности содержимого (Content Security Policy). Electron при этом не запускается. Результат получает статус BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения.

Что проверяется

BLOCK (исправить перед выпуском)

• E01: включённый nodeIntegration (также в workers, subframes и тегах webview)

• E02: contextIsolation со значением false

• E03: webSecurity со значением false, allowRunningInsecureContent или disable-web-security

• E04: предоставление через contextBridge всего ipcRenderer, пересылки сообщений по любому каналу или модулей Node

REVIEW (проверить перед выпуском)

• E11: отключённая песочница процесса рендеринга (sandbox: false, --no-sandbox)

• E12: загрузка страниц по незащищённому HTTP

• E13: отсутствие ограничений через setWindowOpenHandler или will-navigate во всём приложении

• E14: shell.openExternal с непроверенным URL

• E15: загружаемые страницы без политики безопасности содержимого (Content Security Policy)

• E16: Electron версии 41 или старше в package.json

• E17: модуль remote

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Примеры небезопасного и безопасного приложения (main, preload, страница, package.json), а также реальный отчёт сканера по небезопасному примеру

Ограничения

Сканер читает код как текст: настройки, формируемые во время выполнения, обработчики IPC, обработчики разрешений, Fuses и удалённые страницы не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 14 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (все правила с объяснениями и более безопасными решениями) и examples/ (8 файлов примеров, а также report.md с реальными результатами сканирования небезопасного примера).

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков своего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: не обращаются к сети и никуда ничего не отправляют.