sh "docker login -p ${PASSWORD}" помещает ваши учётные данные в командную строку, а sh "echo ${env.CHANGE_TITLE}" позволяет пул-реквесту выполнять собственные команды на ваших агентах. Этот навык находит эти и ещё девять ошибок в конвейерах Jenkins до запуска и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов Jenkinsfile (декларативных и скриптовых, Jenkinsfile.*, *.jenkinsfile) и файлов Groovy из общих библиотек. Он пропускает комментарии Groovy, понимает, в каких строках подстановку выполняет Groovy (двойные кавычки), а какие читает оболочка во время выполнения (одинарные кавычки, \\$), какие имена содержат учётные данные (withCredentials, credentials() с формами USR и PSW, параметры пароля) и какие параметры допускают произвольный текст, а какие предлагают фиксированный выбор. Он никогда не подключается к Jenkins и не запускает сборку. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• J01: учётные данные, передаваемые в sh, bat или powershell через строку Groovy в двойных кавычках

• J02: пароль, токен или ключ, записанный в конвейере

• J03: заголовки, ветки или авторы пул-реквестов, подставляемые в команды оболочки

REVIEW (проверить перед релизом)

• J11: evaluate(), GroovyShell или "...".execute(), выполняемые на контроллере

• J12: сборки на встроенном узле (метка master или built-in)

• J13: curl -k, wget --no-check-certificate и другие отключённые проверки TLS

• J14: загруженные данные, передаваемые по конвейеру в командную оболочку

• J15: общие библиотеки, загружаемые без указания версии или из ветки

• J16: контейнеры с --privileged или подключённым сокетом Docker

• J17: шаги input без submitter

• J18: текстовые параметры сборки со свободным вводом, подставляемые в команды оболочки

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причины и более безопасного подхода для каждого правила

• Примеры небезопасного и безопасного конвейера и настоящий отчёт сканера по небезопасному примеру

Ограничения

Каждый файл анализируется в том виде, в котором записан: задания, настроенные в интерфейсе Jenkins, параметры, определённые только в настройках задания, Job DSL, Configuration as Code и версии плагинов не проверяются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив с 9 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причины и более безопасного подхода), а также examples/ (3 файла примеров и report.md, фактический вывод сканера для небезопасного примера).

Как пользоваться: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты можно запускать и отдельно с Python 3.9 или новее, без установки дополнительных пакетов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.