Firebase 官方仓库里的审查技能（作者署 Google LLC）：让代理以渗透测试者的视角检查 Firestore 和 Cloud Storage 的安全规则，主动寻找能绕过规则的操作顺序，按 1–5 分打分，并用 JSON 列出每个问题的严重度和修复建议。
skills.sh 安装量 142227（+576 / 24h）
安全审计：未审计
- 尚未扫描
理由
- 6 项必查清单：先建合法文档、再 update 成非法状态的“更新绕过”；role、isAdmin、ownerId 等敏感字段是否取自用户提交的数据；规则能否支撑业务（协作者读不到也算坏）；字符串和数组有没有长度上限；字段类型检查；hasOnly() / diff() 只限定能改哪些字段、不限定谁能改
- 评分档位写清：1 分是越权读取、提权或校验被整体绕过，5 分是完整校验加严格归属和基于角色的访问控制；单个写死的管理员邮箱只要同时校验 email_verified、且不能自行添加管理员，就不扣分
- 输出固定的 JSON 结构（score、summary，findings 里含 check、severity、issue、recommendation），方便接进 CI 或前后对比
- 边界写明：不管 Firebase CLI 登录部署、Auth、Crashlytics、Remote Config 和数据库查询；仓库为 Apache-2.0 许可，同仓库另有 12 个技能在榜
- skills.sh 24 小时安装 576，累计 142227（只代表关注度）
用法
- 安装命令待审计通过后显示；说“审查 / 红队测试 Firestore 规则”或要按审计清单打分时触发，把 firestore.rules 或 storage.rules 交给代理
- 不需要账号或外部服务，是纯文字清单，不调用 Firebase CLI
风险
- 本期未审计，固定 C 级、不显示安装命令；SKILL.md 只有文字清单和输出格式，没有命令、脚本和网络请求；skills.sh 上 Gen Agent Trust Hub 审计为 Pass
- 只静态阅读规则，不跑 Firebase 模拟器，找出的“绕过”需要自己用模拟器或单元测试复现；清单只覆盖 6 类常见问题
- 提示词按“管理员引导流程有限”的特定应用场景写评分口径，套到别的项目上可能偏；每周安装从 5103 降到 3607