Навык аудита из официального репозитория Firebase (автор указан как Google LLC): позволяет агенту проверять правила безопасности Firestore и Cloud Storage с точки зрения пентестера, активно искать последовательности операций, способные обойти правила, оценивать их по шкале 1–5 баллов и выводить в формате JSON список проблем с указанием степени критичности и рекомендаций по исправлению.
Количество установок на skills.sh: 142227 (+576 / 24 ч)
Аудит безопасности: не проведен
- Сканирование еще не выполнено
Обоснование
- 6 обязательных пунктов проверки: «обход при обновлении» (сначала создается допустимый документ, затем он обновляется до недопустимого состояния); берутся ли чувствительные поля, такие как role, isAdmin, ownerId, из данных, предоставленных пользователем; поддерживают ли правила бизнес-логику (невозможность чтения для соавторов также является проблемой); есть ли ограничения на длину строк и массивов; проверка типов полей; hasOnly() / diff() ограничивают только то, какие поля можно изменить, но не то, кто может их изменить
- Четко определены уровни оценки: 1 баллов означает несанкционированное чтение, повышение привилегий или полный обход проверки, 5 баллов означает полную проверку со строгим контролем владения и ролевым доступом; жестко заданный адрес электронной почты администратора не снижает оценку, если одновременно проверяется email_verified и администратор не может добавлять других администраторов самостоятельно
- Фиксированная структура вывода в формате JSON (score, summary, а в findings — check, severity, issue, recommendation), удобная для интеграции в CI или сравнения результатов
- Указаны границы применимости: не охватывает вход и развертывание через Firebase CLI, Auth, Crashlytics, Remote Config и запросы к базе данных; репозиторий распространяется под лицензией Apache-2.0, в том же репозитории находится еще 12 навыков в рейтинге
- За 24 часов на skills.sh выполнено 576 установок, всего 142227 (отражает только уровень интереса)
Использование
- Команда установки отображается после успешного прохождения аудита; активируется при запросе «проверить / провести ред-тим тест правил Firestore» или при необходимости оценки по чек-листу аудита, передавая агенту файлы firestore.rules или storage.rules
- Не требует учетной записи или внешних сервисов, представляет собой чисто текстовый чек-лист и не вызывает Firebase CLI
Риски
- В этом выпуске аудит не проводился, присвоен фиксированный уровень C, команда установки не отображается; в SKILL.md содержатся только текстовый чек-лист и формат вывода, отсутствуют команды, скрипты и сетевые запросы; аудит от Gen Agent Trust Hub на skills.sh имеет статус Pass
- Правила анализируются только статически, без запуска симулятора Firebase; обнаруженные «обходы» необходимо воспроизводить самостоятельно с помощью симулятора или модульных тестов; чек-лист охватывает только 6 типовых проблем
- Критерии оценки в промпте написаны для конкретного сценария с «ограниченным процессом настройки администратора» и могут быть неприменимы к другим проектам; еженедельное количество установок снизилось с 5103 до 3607