APP_DEBUG=true на рабочем сайте Laravel показывает пароль от базы данных и API-ключи на странице ошибки, а копию .env, оставленную в public_html, боты скачивают в течение нескольких часов. Этот навык находит такие ошибки и ещё девять ошибок конфигурации Laravel до деплоя и объясняет, как исправить каждую.

Ваш агент запускает сканер по проекту: по каждому файлу .env (.env, .env.production, резервные копии; примеры и шаблоны пропускаются) и каждому файлу config/*.php. Он читает файлы .env так же, как Laravel (кавычки, export, комментарии, побеждает последнее значение), и читает массивы конфигурации PHP с их комментариями, строками и значениями по умолчанию в env('NAME', default). Локальное и тестовое окружения читаются, но не попадают в отчёт. Он никогда не запускает PHP или artisan. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Ключи и пароли никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• L01: APP_DEBUG включён в продакшене или true по умолчанию в config/app.php

• L02: APP_KEY с примерным значением, слишком короткий или записанный в config/app.php

• L03: пароль, секрет или API-ключ, записанный в файл конфигурации или в значение по умолчанию env()

• L04: файл .env или его копия внутри public/, public_html/ или другой корневой папки сайта

REVIEW (проверить перед релизом)

• L11: сессионная cookie без secure или доступная из JavaScript

• L12: CORS, разрешающий любой origin вместе с supports_credentials

• L13: Telescope или Debugbar включены в продакшене

• L14: LOG_LEVEL=debug в продакшене

• L15: APP_URL с http://

• L16: пользователь базы данных root или пустой пароль базы данных

• L17: BCRYPT_ROUNDS меньше 10

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный пример проекта (.env.production и файлы конфигурации), копия .env в public/, которую нужно найти, и настоящий отчёт сканера по рискованному примеру

Ограничения

Сканер читает файлы в том виде, в каком они написаны, поэтому значения из реального окружения сервера, config:cache и код в сервис-провайдерах не учитываются, и он не видит веб-сервер, у которого корнем документов является вся папка проекта. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 15 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (10 файлов примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.