Bytesagain Code Reviewer Cn

以下为依据公开代码 / 声明自动扫描的结果，每条均可追溯到具体文件与片段。

• P0 高风险破坏命令确定性危险MCP03 · 过度权限scripts/script.sh:86

  在查什么：脚本里包含 rm -rf /、格式化磁盘等会删除或销毁系统文件的命令。

  能力风险：误执行或被诱导执行后，本机或服务器文件会被清空，通常不可恢复。

  原始匹配（技术人员可核对）

  rm -rf /

• P2 提示透明度问题透明度问题scripts/script.sh

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  scripts/script.sh cmd_review: `with open(filepath) as f: lines = f.readlines()`（CR_FILE 由 `CR_FILE="$file" CR_LANG="$lang" python3 << 'PYEOF'` 传入）；cmd_complexity: `with open("$file") as f: lines = f.r

• P2 提示风险行为风险行为scripts/script.sh

  发现了可能泄露数据或执行外部命令的行为，需结合你的使用场景判断是否可接受。

  原始匹配（技术人员可核对）

  scripts/script.sh 本体为 `#!/usr/bin/env bash` + `set -euo pipefail`，通过 heredoc 调用解释器：`python3 << 'PYEOF'`（cmd_review/cmd_checklist/cmd_security/cmd_complexity 各一处）；cmd_diff 执行外部命令 `diff --unified=3 "$f1

• P2 提示待定待定

  原始匹配（技术人员可核对）

  scripts/script.sh cmd_security 模式表：`(r'password\s*=\s*["\'][^"\']+["\']', "Hardcoded password")`、`secret`、`api_key`、`token` 四条，命中后 `findings.append((i, desc, line.strip()[:80]))` 并 `print(f"    {snipp

• P2 提示透明度问题透明度问题scripts/script.sh

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  scripts/script.sh cmd_review 的 bash 检测分支：`if re.search(r'rm -rf /', content): issues.append("DANGEROUS: rm -rf with root path detected!")` —— 该字符串仅作为被审阅文件内容的匹配正则常量出现，代码从未执行 rm；静态层的 R2_destructive_comm

• P2 提示透明度问题透明度问题_meta.json

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  全文未出现 curl、wget、requests、urllib、http(s) 客户端、socket 或任何上传调用；所有输出仅 print 到本地 stdout；_meta.json / SKILL.md 中 `requires_api_key: false`，无第三方服务端点

• P2 提示透明度问题透明度问题SKILL.md

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  SKILL.md 仅声明 `Requirements: - bash - python3`；命令行仅 review/checklist/security/complexity/diff 五个本地子命令；无 OAuth、token、账号登录或远程 API 调用代码

• P2 提示透明度问题透明度问题

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  全部子命令仅 `print()` 或 `diff`/`wc` 输出，无 open(...,'w')、无重定向写文件、无 git/CI 变更操作

以下为来源平台/仓库的公开元数据。

基于公开代码与声明自动抽取的结构化能力清单（装前查独立解读，非来源平台声明）。等级越高，可触达的权限面越大。

rm -rf /

scripts/script.sh cmd_review: `with open(filepath) as f: lines = f.readlines()`（CR_FILE 由 `CR_FILE="$file" CR_LANG="$lang" python3 << 'PYEOF'` 传入）；cmd_complexity: `with open("$file") as f: lines = f.r

全文未出现 curl、wget、requests、urllib、http(s) 客户端、socket 或任何上传调用；所有输出仅 print 到本地 stdout；_meta.json / SKILL.md 中 `requires_api_key: false`，无第三方服务端点

存在一定风险，如必须使用，建议在隔离环境/沙箱中运行，并严格限制其可访问的权限范围。