source "https://deploy:[email protected]" помещает пароль вашего gem-сервера в каждую копию репозитория, а git_source с "https://#{ENV["GITHUB_TOKEN"]}@github.com/..." выглядит безопасно, пока Bundler не запишет настоящий токен в Gemfile.lock. Этот навык обнаруживает эти и еще девять ошибок Bundler до следующего bundle install и объясняет, как исправить каждую из них.

Ваш агент запускает сканер файлов Gemfile (Gemfile, gems.rb, Gemfile.next, gemfiles/*.gemfile), Gemfile.lock, файлов .gemspec и .bundle/config проекта. Он пропускает комментарии Ruby, отслеживает #{...} внутри строк, распознает сокращения Bundler github:, gist:, bitbucket: и git_source, а также блоки source, git и path, отличает приложение от gem и читает .gitignore, чтобы правильно оценить игнорируемые .bundle/config или Gemfile.lock. Он не запускает Ruby или Bundler. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Пароли и токены никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправьте перед выпуском)

• G01: источники gem, зеркала и git-gem по http:// или git://, а также ssl_verify_mode 0

• G02: пароли и токены в URL источников или git в Gemfile, gemspec или Gemfile.lock

• G03: учетные данные gem-сервера в .bundle/config, который не исключен через .gitignore

ПРОВЕРКА (проверьте перед выпуском)

• G11: gem из git и github без ref: или tag: либо с ref, который может изменяться (имя ветки)

• G12: более одной строки глобального источника (подмена зависимостей, Bundler 4 отклоняет такой Gemfile)

• G13: приложение без Gemfile.lock, добавленного в репозиторий

• G14: зависимости времени выполнения в gemspec без указания версии

• G15: gem с локальным путем за пределами проекта

• G16: плагины Bundler без точной версии

• G17: токены из ENV в URL git, которые Bundler копирует в Gemfile.lock

• G18: проверки контрольных сумм gem, отключенные в .bundle/config, или lock-файл Bundler 4 без раздела CHECKSUMS

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с обоснованием и более безопасным подходом для каждого правила

• Примеры небезопасного и безопасного проектов (приложение, административное приложение и модуль биллинга с Gemfile, lock-файлами, gemspec и .bundle/config), а также реальный отчет сканера по небезопасному примеру

Ограничения

Сканер читает каждый файл в том виде, в котором он записан: значения из окружения не подставляются, ~/.bundle/config, переменные окружения BUNDLE_ и настройки CI не читаются, обращения к gem-серверам не выполняются. Настройки Rails и код приложения не проверяются. NOT FLAGGED не является гарантией безопасности.

Содержимое

Один ZIP-архив с 23 файлами: SKILL.md, сканер в scripts/ (5 файлов Python), references/rules.md (каждое правило с обоснованием и более безопасным подходом), а также examples/ (15 файлов примеров и report.md, фактический результат проверки небезопасного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: доступа к сети нет, никакие данные никуда не отправляются.