便携式部署审计

对指定目录执行只读安全审查。

规则

• 将此技能视为只读操作。
• 请勿使用它自动修改文件。
• 审计当前目录以外的路径时，请传入 --target 参数。
• 如需机器可读输出，请使用 --format json；标准输出将仅包含纯 JSON 内容。
• 在 CI 环境中希望发现 HIGH 级别问题时返回非零退出码，请使用 --strict。
• 在混合型仓库中跳过体积较大或无关紧要的目录，请使用 --exclude-dir。
• 如需抑制本地或预发布环境中预期配置/暴露的端口告警，请使用 --allow-port。
• 本版本仅基于文件检查，不调用 git、ss 或 netstat 等外部二进制程序。
• Windows 平台上的权限分析能力有限；Unix 模式位（mode-bit）检查仅在类 Unix 系统上运行。

命令

快速审计当前目录

node skills/portable-deployment-audit/scripts/audit.cjs --target .

审计其他目录

node skills/portable-deployment-audit/scripts/audit.cjs --target /path/to/project

生成 JSON 报告

node skills/portable-deployment-audit/scripts/audit.cjs --target . --format json > audit-report.json

CI 风格运行

node skills/portable-deployment-audit/scripts/audit.cjs --target . --format json --strict

忽略预期噪声

node skills/portable-deployment-audit/scripts/audit.cjs --target . --exclude-dir vendor,tmp --allow-port 3000,8080

仅执行特定检查

node skills/portable-deployment-audit/scripts/audit.cjs --target . --check credentials,configs
node skills/portable-deployment-audit/scripts/audit.cjs --target . --ports
node skills/portable-deployment-audit/scripts/audit.cjs --target . --docker

检查项

• credentials：扫描环境变量、配置文件及源码文件中可能存在的密钥与硬编码凭据
• ports：从配置文件和 compose 文件中提取显式端口暴露线索，尊重 --allow-port 设置，并对常见服务端口（如 80、443、3000、8080 等）发出更强警告
• configs：标记存在风险的调试日志配置、通配符 CORS 设置，以及明显为占位符/默认值的密钥
• permissions：检查敏感文件的 Unix 权限模式位；Windows 平台仅报告能力限制，不进行猜测性判断
• docker：检查 Dockerfile 与 compose 文件是否存在以 root/特权模式运行、使用主机网络、暴露端口、缺少 HEALTHCHECK 指令、使用浮动标签（floating tags）等问题
• git：标记仓库暴露迹象，例如公开的 .git 目录或缺失的 .gitignore 文件

说明

• --fix 在本版本中被明确禁用。
• 所有发现均为建议性质，应在实施变更前人工复核。
• 文本输出中包含基于发现结果生成的简明修复建议。
• 该脚本仅执行文件内容检查，不执行任何 shell 命令或调用外部二进制程序。
• 如需集成至自动化流程，请优先使用 --format json 并解析结构化报告。