GitHub 项目能不能装？让 AI 帮你先做安全审查——repo-evaluator

你有没有遇到这种情况——看到一个 GitHub 项目，手痒想 brew install 或者 npx 跑一下，但又担心里面藏着什么不干净的东西？

我最近挖到一个特别实用的 Skill，叫 repo-evaluator，专门解决这个痛点：装之前，先帮你的 AI 编程助手把项目”验明正身”。

它能帮你做什么？

一句话：在你点击”安装”之前，先把这个 GitHub 仓库翻个底朝天，告诉你它安不安全。

具体检查维度包括：

• 安装脚本审查：看 install.sh 或 postinstall 脚本有没有偷偷写奇怪的东西
• 权限和持久化：会不会开机自启？需不需要 root 权限？
• 数据回传检查：有没有往不明服务器打电话、发 telemetry？
• 凭证访问：有没有申请访问你的 SSH keys、GitHub token 之类的敏感权限
• 自我推广行为：有没有强制 star、自动关注这种刷量操作
• 二进制混淆和供应链：有没有 commit 二进制文件、依赖链是否可疑

最终输出一个普通人都能看懂的结论——”可以装”、”谨慎装”还是”别碰”。

使用方式

触发方式很自然，直接问 Claude：

“这个仓库安全吗？帮我看看 https://github.com/xxx/yyy”

然后它就会调用 repo-evaluator 工作流，读取 SKILL.md、扫描脚本、分析行为，最后给你一个 verdict。

安装命令：

npx skills add JeredBlu/jeredblu-marketplace --skill repo-evaluator

适用场景

• 对来历不明的开源工具不放心，想在跑之前心里有数
• 团队新来一个外部库，需要快速做技术尽调
• 自己维护的 AI 编程助手需要一套”安装前检查”的标准流程

作者定位是开发者工具/GitHub 热门 Skill 方向，这个 Skill 完美命中。GitHub Stars 62，虽然不高，但实用价值远大于 Star 数。

GitHub 链接：https://github.com/JeredBlu/jeredblu-marketplace

GitHub: https://github.com/JeredBlu/jeredblu-marketplace