Kỹ năng đánh giá từ kho lưu trữ chính thức của Firebase (tác giả: Google LLC): Cho phép tác nhân kiểm tra các quy tắc bảo mật của Firestore và Cloud Storage dưới góc nhìn của một chuyên gia kiểm thử xâm nhập, chủ động tìm kiếm các trình tự thao tác có thể bỏ qua quy tắc, chấm điểm theo thang 1–5, và liệt kê mức độ nghiêm trọng cùng đề xuất khắc phục cho từng vấn đề dưới dạng JSON.
Số lượt cài đặt trên skills.sh 142227 (+576 / 24h)
Kiểm toán bảo mật: Chưa kiểm toán
- Chưa quét
Lý do
- Danh sách kiểm tra bắt buộc gồm 6 mục: kỹ thuật "bỏ qua khi cập nhật" (tạo tài liệu hợp pháp trước, sau đó cập nhật sang trạng thái không hợp lệ); các trường nhạy cảm như role, isAdmin, ownerId có được lấy từ dữ liệu do người dùng gửi hay không; quy tắc có hỗ trợ được nghiệp vụ hay không (việc cộng tác viên không đọc được cũng là lỗi); có giới hạn độ dài cho chuỗi và mảng hay không; kiểm tra kiểu dữ liệu của trường; hasOnly() / diff() chỉ giới hạn những trường nào được phép thay đổi, không giới hạn ai được phép thay đổi
- Các mức điểm được mô tả rõ ràng: 1 điểm dành cho việc đọc trái phép, leo thang đặc quyền hoặc bỏ qua hoàn toàn việc xác thực; 5 điểm dành cho việc xác thực đầy đủ cùng với kiểm soát quyền sở hữu nghiêm ngặt và kiểm soát truy cập dựa trên vai trò; một địa chỉ email quản trị viên được hardcode sẽ không bị trừ điểm nếu đồng thời xác minh email_verified và không cho phép tự thêm quản trị viên
- Đầu ra là cấu trúc JSON cố định (score, summary, findings chứa check, severity, issue, recommendation), thuận tiện cho việc tích hợp vào CI hoặc so sánh trước/sau
- Phạm vi được nêu rõ: không xử lý đăng nhập và triển khai qua Firebase CLI, Auth, Crashlytics, Remote Config và truy vấn cơ sở dữ liệu; kho lưu trữ có giấy phép Apache-2.0, cùng kho lưu trữ này còn có 12 kỹ năng khác đang được xếp hạng
- Trong 24 giờ, skills.sh ghi nhận 576 lượt cài đặt, tổng cộng 142227 (chỉ phản ánh mức độ quan tâm)
Cách sử dụng
- Lệnh cài đặt sẽ hiển thị sau khi vượt qua kiểm toán; kích hoạt khi yêu cầu "đánh giá / kiểm thử đỏ cho quy tắc Firestore" hoặc chấm điểm theo danh sách kiểm toán, bằng cách cung cấp firestore.rules hoặc storage.rules cho tác nhân
- Không cần tài khoản hoặc dịch vụ bên ngoài, đây là danh sách dạng văn bản thuần túy, không gọi Firebase CLI
Rủi ro
- Chưa được kiểm toán trong kỳ này, xếp loại C cố định, không hiển thị lệnh cài đặt; SKILL.md chỉ chứa danh sách dạng văn bản và định dạng đầu ra, không có lệnh, script hay yêu cầu mạng; trên skills.sh, đánh giá từ Gen Agent Trust Hub là Pass
- Chỉ đọc tĩnh các quy tắc, không chạy Firebase emulator, các trường hợp "bỏ qua" được tìm thấy cần được tự tái hiện bằng emulator hoặc đơn vị kiểm thử; danh sách chỉ bao phủ 6 loại vấn đề phổ biến
- Tiêu chí chấm điểm trong prompt được viết cho kịch bản ứng dụng cụ thể "quy trình hướng dẫn quản trị viên bị giới hạn", khi áp dụng cho các dự án khác có thể không phù hợp; số lượt cài đặt hàng tuần giảm từ 5103 xuống 3607