client.login("MTIz...") в index.js віддає вашого бота будь-кому, хто може прочитати репозиторій, а команда !say, яка виконує message.channel.send(args.join(" ")), дає змогу будь-якому учаснику змусити бота пінгувати @everyone. Ця навичка знаходить такі помилки та інші наведені нижче помилки Discord-ботів до того, як ви запустите чи опублікуєте бота, і пояснює, як виправити кожну.

Ваш агент запускає сканер для ваших проєктів на discord.js і discord.py (зокрема форків py-cord, nextcord і disnake), ендпоінтів HTTP-взаємодій на Node або Python, а також їхніх файлів .env, конфігурації, package.json, requirements і README. Він розпізнає формати токенів і вебхуків Discord (і пропускає задокументований самим Discord приклад токена), відстежує текст із повідомлень, аргументів команд і опцій слеш-команд через присвоювання, знає, що відповіді на взаємодії та вебхуки за замовчуванням пінгують лише користувачів, і читає весь проєкт, перш ніж оцінювати файл: allowedMentions на рівні клієнта, перевірку підпису в middleware, intent, що використовується в іншому файлі. Він читає ваші файли .gitignore, тому токен у config.json або .env, який git ігнорує, не вважається витоком, і виводить не більше 50 знахідок на правило й файл. Він ніколи не запускає вашого бота і не звертається до Discord. Результат: BLOCK, REVIEW або NOT FLAGGED, із зазначенням файлу, рядка, причини та безпечнішого підходу. Секрети ніколи не виводяться.

Що перевіряється

BLOCK (виправити до випуску)

• D01: токени ботів, токени користувацьких акаунтів, секрети клієнта та інші значення із «секретними» назвами у файлах, які потраплять у коміт git, зокрема літерали, передані в client.login() або bot.run()
• D02: URL вебхуків із токеном у файлах, які потраплять у коміт git
• D03: ендпоінти HTTP-взаємодій і serverless-обробники, які відповідають на PING від Discord, але ніколи не викликають перевірку підпису Ed25519
• D04: eval, new Function, модуль vm, exec або shell-команди, що отримують текст повідомлення, аргументи команд чи опції слеш-команд, без перевірки ID власника бота

REVIEW (перевірити перед релізом)

• D11: текст користувача, надісланий звичайним повідомленням без обмеження згадок (allowed mentions) чи очищення
• D12: команди бану, кіку, тайм-ауту, масового видалення або очищення без перевірки прав учасника
• D13: привілейовані intents (Message Content, Server Members, Presence, Intents.all()), які не використовує жоден просканований код
• D14: обробники messageCreate або on_message, які надсилають повідомлення, не ігноруючи ботів
• D15: посилання-запрошення бота, generateInvite або oauth_url, що запитують права Administrator
• D16: токени або секрети, що записуються через виклики console, logger, print чи logging
• D17: бібліотеки для селфботів (discord.js-selfbot-v13, discord.py-self, selfcord, discum) або self_bot=True
• D18: команди eval чи shell, доступні лише власнику бота, і розширення jishaku

Що входить до комплекту

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил із причиною, безпечнішим підходом і посиланням на офіційну документацію для кожного правила
• Ризикований і безпечний приклади проєктів, а також реальний звіт сканера для ризикованого

Обмеження

Сканер читає кожен файл у тому вигляді, у якому його написано, і відстежує текст із чату через прості присвоювання в тому самому файлі та параметри команд discord.py, але не через допоміжні функції в інших файлах. Перевірки прав у власних декораторах або middleware з незвичними назвами можуть бути не розпізнані. Використання intents оцінюється за просканованими файлами, тож скануйте весь проєкт. Права команд, змінені адміністраторами сервера, налаштування Developer Portal і реальні права ролей бота в коді не видно, а історія git не читається. Бібліотеки, крім discord.js, discord.py та його форків (наприклад, Eris, hikari, discordgo чи JDA), не перевіряються. NOT FLAGGED не є гарантією.

Вміст

Один ZIP-файл із 25 файлами: SKILL.md, сканер у scripts/ (6 файлів Python), references/rules.md (кожне правило з причиною та безпечнішим підходом) і examples/ (16 файлів прикладів плюс report.md, реальний результат роботи сканера на ризикованому прикладі).

Як користуватися: Це навичка для агента: папка з файлом SKILL.md і скриптами Python, які може запускати ШІ-агент для програмування, наприклад Claude Code, Cursor або Codex CLI. Розпакуйте архів у папку навичок вашого агента (для Claude Code: ~/.claude/skills/), а потім попросіть агента перевірити ваш проєкт. Скрипти також працюють самостійно з Python 3.9 або новішим, нічого встановлювати не потрібно. Вони лише читають ваші файли: без доступу до мережі, і нічого нікуди не надсилається.