handler.proceed() в onReceivedSslError, однажды добавленный для тестового сервера, или addJavascriptInterface в WebView, открывающем любой URL из глубокой ссылки: первый позволяет любому в той же сети Wi-Fi читать трафик ваших пользователей, а второй позволяет любой веб-странице вызывать код вашего приложения. Этот навык находит эти и ещё девять ошибок в коде Android до публикации и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов .kt и .java приложения и строковых ресурсов в res/values. Сканер анализирует Kotlin и Java как код (комментарии, необработанные строки, $templates), пропускает тесты, сгенерированный код и папки сборки и распознаёт стандартные меры защиты: if (BuildConfig.DEBUG), наборы исходников debug, список разрешений в shouldOverrideUrlLoading, заполнители ? в SQL, FLAG_IMMUTABLE в локальной переменной. Ключи, предназначенные для включения в приложение, например ключи Google Maps и Firebase, не отмечаются. Сканер никогда не запускает Gradle или приложение. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до публикации)

• A01: JavaScript-мост WebView (addJavascriptInterface) на странице, загруженной из интернета или из Intent, без списка разрешённых переходов

• A02: onReceivedSslError с вызовом proceed(), TrustManager, доверяющие всем сертификатам, и проверки имени хоста, принимающие любой хост

• A03: секреты в коде или строковых ресурсах: известные форматы ключей, ключи Supabase service_role, фиксированные заголовки Authorization и X-Api-Key, ключи Gemini, длинные значения с именами секретов

REVIEW (проверить до выпуска)

• A11: токены и пароли, сохранённые в обычных SharedPreferences или Preferences DataStore

• A12: токены, пароли и идентификаторы сеансов в выводе Log, Timber или println, а также HttpLoggingInterceptor, записывающий тела сообщений или заголовки без скрытия секретов

• A13: MODE_WORLD_READABLE, setReadable(true, false) и chmod 666 или 777

• A14: PendingIntent без FLAG_IMMUTABLE или FLAG_MUTABLE для неявного Intent

• A15: серверы http:// и ws:// в коде и строковых ресурсах, а также смешанный контент WebView

• A16: доступ WebView к файлам (allowFileAccess и настройки доступа по file-URL)

• A17: SQL для rawQuery, execSQL или SimpleSQLiteQuery, собранный из текстовых значений через шаблоны или + (числа с заданным числовым типом допустимы)

• A18: отладка WebView, включённая вне отладочных сборок

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным подходом для каждого правила

• Небезопасный и безопасный примеры проекта Android, а также настоящий отчёт сканера по небезопасному примеру

Ограничения

Каждый файл анализируется в том виде, в котором написан: значения, передаваемые между файлами, значения Gradle buildConfigField, AndroidManifest.xml, нативный код и зависимости не проверяются. NOT FLAGGED не является гарантией безопасности.

Содержимое

Один ZIP-архив с 25 файлами: SKILL.md, сканер в scripts/ (6 файлов Python), references/rules.md (каждое правило с объяснением причин и более безопасным подходом) и examples/ (16 файлов примеров и report.md, настоящий результат работы сканера на небезопасном примере).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных пакетов. Они только читают ваши файлы: не подключаются к сети и ничего никуда не отправляют.