billing-core = { git = "...", branch = "main" } означает, что при следующем cargo update будет собран код, последним отправленный в main, а одна строка token = "..." в .cargo/config.toml раскрывает ваш токен реестра всем, кто может читать репозиторий. Этот навык находит эти и еще восемь ошибок Cargo и Rust до сборки или релиза и объясняет, как исправить каждую из них.

Ваш агент запускает сканер проекта: Cargo.toml (все таблицы зависимостей, таблицы для отдельных целевых платформ, [workspace.dependencies], [patch] и [replace]), Cargo.lock, .cargo/config.toml и устаревший .cargo/config, файлы учетных данных, build.rs и все файлы .rs. Он разбирает TOML с номерами строк и читает Rust с помощью небольшого лексического анализатора, который распознает вложенные комментарии, сырые строки, символьные литералы и времена жизни, поэтому текст в строках и комментариях никогда не считается кодом. Он следует правилам самого Cargo (наследование через workspace = true, Cargo.lock в корне рабочего пространства, пути конфигурации относительно папки, содержащей .cargo) и читает .gitignore, чтобы определить, включены ли Cargo.lock и файлы учетных данных в коммиты. Он никогда не запускает Cargo, скрипты сборки или ваш код. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяет

БЛОКИРОВКА (исправить перед выпуском)

• C02: git-зависимости, индексы реестров, замены источников и источники в Cargo.lock, использующие http:// или git://

• C03: токены реестров в .cargo/config.toml или файле учетных данных внутри проекта, пароли и токены в URL, секреты в [env] или [package.metadata]

ПРОВЕРКА (проверить перед релизом)

• C01: git-зависимости и патчи без rev или tag, из-за чего они следуют за веткой

• C11: версии "*", требования >= без верхней границы и зависимости вообще без версии

• C12: переопределения [patch], [replace] и paths

• C13: исполняемые проекты без Cargo.lock в коммитах (файл отсутствует или указан в .gitignore)

• C14: build.rs, запускающий другие программы

• C15: скрипты сборки с загрузками: крейты HTTP-клиентов в [build-dependencies], reqwest или ureq в build.rs, curl, wget или git clone

• C16: блоки unsafe, unsafe fn и unsafe impl с подсчетом и списком для каждого файла

• C17: зависимости по пути, патчи и локальные копии сторонних исходников вне репозитория

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с обоснованием и более безопасным подходом для каждого правила

• Пример проекта с рисками и его безопасная версия, а также реальный отчет сканера по проекту с рисками

Ограничения

Он читает файлы проекта в том виде, в каком они записаны. Не проверяются пользовательский ~/.cargo/config.toml, переменные окружения CARGO_*, скрипты сборки и код зависимостей, процедурные макросы и известные уязвимости версий крейтов (ими занимается cargo audit). NOT FLAGGED не дает гарантий.

Содержимое

Один ZIP-архив с 25 файлами: SKILL.md, сканер в scripts/ (7 файлов Python), references/rules.md (все правила с обоснованием и более безопасным подходом), а также examples/ (15 файлов примеров и report.md, реальный вывод сканера для примера с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и никуда ничего не отправляют.