«У меня все работает» часто означает, что переменной, которую читает код, нет в .env.example. Этот навык сравнивает каждую переменную, которую читает ваш код, с вашим файлом-примером env, находит пробелы и лишние записи и отмечает ошибки в env, из-за которых утекают секреты.

Ваш агент запускает сканер для проекта. Он читает файлы JavaScript, TypeScript, Python, PHP, Ruby, Go, Prisma и Compose, ваши файлы-примеры env и .gitignore. Он выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта. Значения из ваших реальных файлов .env в отчет никогда не попадают.

Что проверяется

BLOCK (исправить до выпуска)

• E01: значение, похожее на настоящий секрет, в файле-примере env

• E02: реальный файл .env, который не исключен в .gitignore

• E03: переменная, похожая на секрет, с публичным префиксом (NEXT_PUBLIC_, VITE_, REACT_APP_ и аналогичными)

REVIEW (проверить перед релизом)

• E11: переменная, которую читает код, но которой нет в файле-примере

• E12: запись в файле-примере, которую ничто не читает

• E13: переменные окружения используются, а файла-примера нет вовсе

• E14: один и тот же ключ дважды в файле-примере

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник по правилам: для каждого правила указаны причина и более безопасный вариант

• Рискованный и безопасный примеры проекта, а также реальный отчет, который сканер выдает по рискованному примеру

Ограничения

Он находит имена переменных, записанные в коде буквально. Имена, формируемые во время выполнения или считываемые через библиотеки конфигурации, не видны. Все файлы .gitignore в проекте и выше него, вплоть до корня репозитория, применяются так же, как их применяет git. Статус NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив, в нем 14 файлов: SKILL.md, сканер в scripts/ (2 файла на Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (9 файлов-примеров плюс report.md, реальный отчет сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.