client.badCertificateCallback = (cert, host, port) => true, однажды добавленный для тестового сервера, или секретный API-ключ в lib/config.dart попадают в каждый выпускаемый APK и IPA. Любой может извлечь их или перехватить связь между вашими пользователями и сервером. Этот навык обнаруживает эти и еще одиннадцать ошибок Flutter и Dart до выпуска и объясняет, как исправить каждую из них.

Ваш агент запускает сканер кода Dart, pubspec.yaml и pubspec.lock. Он разбирает Dart с учетом его синтаксиса (комментарии, необработанные строки и строки в тройных кавычках, интерполяция $name и ${...}), пропускает тесты, сгенерированные файлы и папки сборки, распознает типичные защитные конструкции: if (kDebugMode), assert, список разрешенных переходов, заполнители ? в SQL. Ключи, предназначенные для распространения в приложениях (Firebase, Google Maps, Stripe publishable, Supabase anon, Algolia search-only), не вызывают срабатываний; ключ Supabase service_role обнаруживается даже под безобидным именем, поскольку сканер читает роль внутри ключа без подключения к сети. Он не запускает flutter, pub или ваше приложение. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправьте перед выпуском)

• F01: секреты, скомпилированные в приложение (известные форматы ключей, ключи Supabase service_role, длинные значения в полях с именами секретов, фиксированные заголовки Authorization, ключи в параметрах URL, ключи Gemini, значения по умолчанию String.fromEnvironment)

• F02: badCertificateCallback или onBadCertificate, возвращающие true, и ошибки SSL в WebView, при которых выполнение всегда продолжается

• F03: серверы http:// и ws:// в открытом интернете

• F04: пакеты, загружаемые по http:// или git://

ПРОВЕРКА (проверьте перед выпуском)

• F11: токены и пароли в shared_preferences, GetStorage или незашифрованном контейнере Hive

• F12: токены, выводимые через print или debugPrint, и HTTP-логирование, оставленное включенным в релизных сборках

• F13: git-зависимости без ref или с привязкой к ветке

• F14: версии any, отсутствующие версии и диапазоны без верхней границы

• F15: dependency_overrides, оставленные в pubspec.yaml

• F16: JavaScript-каналы WebView на удаленных страницах без списка разрешенных переходов

• F17: файлы .env, ключей и учетных данных, включенные в ресурсы Flutter

• F18: SQL-запросы sqflite и drift, сформированные интерполяцией строк

• F19: http:// и ws:// к адресам частной сети (192.168.x.x, .local, .lan, .internal) вне отладочных сборок

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с обоснованием и более безопасным подходом для каждого правила

• Примеры небезопасного и безопасного проектов Flutter, а также реальный отчет сканера по небезопасному примеру

Ограничения

Сканер читает каждый файл отдельно: значения, передаваемые между файлами, платформенный код в android/ и ios/ (манифест и Info.plist проверяйте отдельно), нативные плагины и известные уязвимости версий пакетов не проверяются. NOT FLAGGED не является гарантией безопасности.

Содержимое

Один ZIP-архив с 27 файлами: SKILL.md, сканер в scripts/ (6 файлов Python), references/rules.md (каждое правило с обоснованием и более безопасным подходом), а также examples/ (18 файлов примеров и report.md, фактический результат проверки небезопасного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: доступа к сети нет, никакие данные никуда не отправляются.