"outputs": ["dist/**", ".env.production"] копіює ваші виробничі секрети в кожен артефакт кешу, а завдання деплою без "cache": false може бути відтворене з кешу замість виконання: Turborepo виводить старі логи та повідомляє про успіх, хоча нічого не було розгорнуто. Цей скіл знаходить ці та інші помилки кешування монорепозиторіїв, описані нижче, перед вашою наступною збіркою, і підказує, як виправити кожну з них.

Ваш агент запускає сканер на turbo.json і turbo.jsonc, nx.json, project.json, файлах package.json, що використовують turbo, nx або lerna (скрипти, залежності та цілі nx), робочих процесах CI та Dockerfile, що запускають turbo чи nx, а також коді JavaScript і TypeScript робочого простору Turborepo (вихідні файли збірки пропускаються). Він читає JSON із коментарями, знає поточні стандартні налаштування (Turborepo кешує кожне завдання і працює в строгому режимі середовища; Nx кешує лише цілі, позначені "cache": true), об'єднує файли turbo.json пакетів із кореневим файлом над ними, знає змінні, які Turborepo передає кожному завданню, і префікси фреймворків, які він визначає, відрізняє завдання лише для читання, такі як lint:migrations чи release:notes, від справжніх деплоїв, і сприймає посилання на секрети CI та закомментовані заповнювачі як те, що вони є. Він ніколи не запускає turbo, nx чи ваш код. Він повертає BLOCK, REVIEW або NOT FLAGGED, із зазначенням файлу, рядка, причини та безпечнішого підходу. Секрети ніколи не виводяться.

Що він перевіряє

BLOCK (виправити перед публікацією)

• M01: файли .env та інші файли з секретами (.pem, .key, .npmrc, SSH-ключі) в outputs завдань, звідки вони потрапляють у кожну копію кешу та кожне завантаження у віддалений кеш
• M02: завдання деплою, публікації, релізу та міграції, які можуть виконуватися з кешу (без "cache": false у Turborepo, "cache": true або cacheableOperations у Nx); завдання лише для читання, такі як lint:migrations, migrations:check чи release:notes, не позначаються
• M03: TURBO_TOKEN, токени Nx Cloud, ключ підпису віддаленого кешу або секретний ключ кешу Nx S3, записані в активних рядках файлів CI, Dockerfile, скриптів package.json чи nx.json

REVIEW (перевірити перед релізом)

• M11: завдання збірки в кореневому turbo.json без outputs
• M12: змінні середовища, які читає код (зокрема всередині шаблонних рядків) і які не задекларовані в жодному turbo.json, одне виявлення на кожну змінну
• M13: нестрогий режим середовища
• M14: самостійно розміщений віддалений кеш Turborepo (remoteCache.apiUrl, TURBO_API) без перевірки підпису; Vercel Remote Cache, налаштований так, як показано в документації Turborepo, не позначається
• M15: ключ pipeline із Turborepo 1.x
• M16: вхідні дані завдань без $TURBO_DEFAULT$
• M17: токен доступу Nx Cloud у nx.json
• M18: застарілі кеші Nx S3, GCS, Azure та shared-fs (CVE-2025-36852)
• M19: токен кешу, що виглядає справжнім, у закомментованому рядку CI чи Dockerfile (заповнювачі, такі як your-token, допустимі)

Що входить

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил із причиною, безпечнішим підходом і офіційним джерелом для кожного правила
• Ризикові та безпечні приклади репозиторіїв (компанія на Turborepo 2, застосунок на Turborepo 1.x і платформа на Nx), а також справжній звіт, який сканер видає для ризикових прикладів

Обмеження

Він читає кожен файл так, як він написаний: завдання, які виводять плагіни Nx, налаштування, що зберігаються в панелях Nx Cloud чи Vercel (обсяги токенів, рівні доступу робочого простору), і віддалений кеш, який Vercel увімкнено для власних збірок, не бачаться. Змінні середовища зіставляються в усіх файлах turbo.json сканування, а не для кожного завдання окремо, доступ до середовища через допоміжні функції не відстежується, вихідні файли збірки в папках, на які не вказує жоден glob outputs, поле main чи відоме ім'я, читаються як вихідний код, а файл .env, що потрапляє лише під широкий glob outputs, такий як **, не позначається. NOT FLAGGED не є гарантією.

Зміст

Один ZIP-файл із 29 файлами: SKILL.md, сканер у scripts/ (6 файлів Python), references/rules.md (кожне правило з причиною та безпечнішим підходом) і examples/ (20 файлів прикладів плюс report.md, справжній результат роботи сканера на ризиковому прикладі).

Як використовувати: Це скіл для агента: папка з файлом SKILL.md і скриптами Python, які можуть запускати ШІ-агенти для написання коду, такі як Claude Code, Cursor або Codex CLI. Розпакуйте його в папку скілів вашого агента (для Claude Code: ~/.claude/skills/), а потім попросіть агента перевірити ваш проєкт. Скрипти також можна запускати самостійно з Python 3.9 або новішим, нічого не встановлюючи. Вони лише читають ваші файли: без доступу до мережі, і нічого нікуди не надсилається.