shipcheck — 发布前 PII 与密钥检查工具

shipcheck 是一个尽力而为的发布前安全防护网。请在执行 npm publish、clawhub publish 或将仓库设为公开之前运行它，以提前捕获那些你将来会后悔发布的敏感内容：绝对路径（如 /Users//）、内网 IP 地址、Tailscale 主机名、API 密钥、内部项目代号，以及 Markdown 文件中较隐蔽的自然语言类个人信息泄露（如中文第一人称上下文）。

它不是：

• 人工审查的替代方案
• 完整的密钥扫描器（gitleaks / trufflehog 覆盖范围更广）
• 安全审计工具

它只是你在点击“发布”前多添的一双眼睛。

何时使用该技能

当用户即将发布或推送内容至公开环境时，触发此技能：

• npm publish / npm publish --dry-run
• clawhub publish ./my-skill ...
• 向一个全新创建的公开仓库执行 git push
• “检查泄露”、“是否可以安全分享？”、“扫一下个人信息”、“发布前体检”

安装

npm i -g @symbolstar/shipcheck
# 或一次性运行
npx -y @symbolstar/shipcheck

运行

npm 包（默认模式）

仅扫描实际会被发布的文件 —— 静态解析 package.json.files、.npmignore 和 .gitignore（不调用 npm pack）。

cd /path/to/npm-package
shipcheck

技能目录 / 通用仓库

shipcheck --scan-mode=dir ./path/to/skill-or-repo

常用参数

shipcheck --scan-mode=dir|npm     # 默认值：npm
shipcheck --allow             # 按 ID 忽略某项检测结果
shipcheck --config ./shipcheck.config.json

检测范围

推荐工作流

# 1. 运行检测
shipcheck                       # 或：shipcheck --scan-mode=dir .

# 2. 分类处理检测结果
#    - 真实泄露 → 修改对应文件
#    - 误报 → 将其加入 shipcheck.config.json 的 allow 或 forbidden_terms

# 3. 重新运行，直至无 critical / high 级别问题
shipcheck

# 4. 正式发布
npm publish    # 或：clawhub publish ./skill --slug ...

退出码说明

可在 CI 流水线或 prepublishOnly 脚本中使用退出码：

{
  "scripts": {
    "prepublishOnly": "shipcheck && npm run build && npm test"
  }
}

配置（可选）

在项目根目录下创建 shipcheck.config.json：

{
  "forbidden_terms": ["AcmeInternalCodename", "ProjectStarfish"],
  "allow": [
    "rule:identity.absolute-home:fixtures/golden/01/setup.md#L12"
  ],
  "scanMode": "npm"
}

相关链接

• npm 页面：https://www.npmjs.com/package/@symbolstar/shipcheck
• 源码仓库：https://github.com/SymbolStar/shipcheck （公开镜像 — 主要开发在本地仓库）
• 作者：SymbolStar