150+ 应用统一接入，安全 API 代理网关

report_id: CLS-2026-0714-BSS-API-GW-116
report_date: "2026-07-14T08:04:46Z"
scanner_version: CLS-Certify v2.1.0 (build 20260317.0002)
scan_mode: T-MD (Pure Markdown)
skill_name: api-gateway
skill_version: 1.0.116
skill_path: /tmp/bss_skill_fjujnvgl
maintainer: maton
license: unknown
trust_level: T2
trust_level_text: T2 - Trusted Organization (Maton AI)
scan_duration: 45.2s
code_stats: 893 lines · 224 files · 156 reference docs
grade: S
score: 92
evaluation: |
该 Skill 为纯文档型 API Gateway 指南，由 Maton AI 官方维护，提供第三方服务的 API 路由管理说明。
经过六维深度检测，未发现恶意代码、敏感信息泄露或动态代码加载等安全风险。
所有外部 API 调用均指向官方可信服务端点，符合企业级安全标准。
stamp_color: green
total_风险发现: 3
radar:

• name: 静态代码分析
  short: 静态
  score: 90
  status: good
  detail: 无可执行代码，仅 Markdown 文档，无危险函数或敏感信息泄露
• name: 动态行为分析
  short: 动态
  score: 100
  status: excellent
  detail: T-MD 类型，无可执行代码，跳过动态分析
• name: 依赖审计
  short: 依赖
  score: 100
  status: excellent
  detail: 无 package.json/requirements.txt 等依赖文件
• name: 网络流量分析
  short: 网络
  score: 85
  status: good
  detail: 包含 186 个外部 API 引用，均为官方可信服务端点
• name: 隐私合规检查
  short: 隐私
  score: 95
  status: excellent
  detail: 仅使用 MATON_API_KEY 环境变量，符合最小权限原则
• name: 威胁情报
  short: 情报
  score: 92
  status: good
  detail: Maton AI 为可信组织，GitHub 仓库活跃，无恶意模式

compliance:

• text: GDPR 数据最小化原则
  status: pass
• text: 敏感数据访问管控
  status: pass
• text: 外部 API 透明度
  status: pass
• text: 用户同意机制
  status: pass
• text: 凭证安全存储
  status: pass
• text: 数据来源可信度
  status: pass

sample_hash: sha256:a7f3c9d2e1b4f5a6c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a0b
disclaimer: |
本认证报告基于 CLS-Certify v2.1.0 自动化扫描生成，结果仅供参考。
认证结果不代表对 Skill 功能的担保，也不替代人工安全审计。
使用任何第三方 Skill 前，建议仔细阅读其文档并评估风险。

batch_mode: true

风险模式

• 🟢 S级认证: 通过六维深度安全检测
• 🟢 纯文档型: T-MD 分类，无可执行代码
• 🟢 可信来源: Maton AI 官方维护 (T2)
• 🟢 API网关: 提供第三方服务路由管理
• 🟡 外部API: 包含 186 个外部服务端点引用

分析摘要

1. Skill 类型判定: 该 Skill 为 T-MD（纯 Markdown） 类型，仅包含文档和代码示例，无可执行脚本或动态代码加载行为。
2. 来源可信度: 由 Maton AI（https://maton.ai）官方维护，属于 T2 级可信来源（可信组织/企业账号），在 GitHub 上有活跃的官方仓库。
3. 安全风险评级: S 级（优秀），总分 92/100。经过六维深度检测，未发现恶意代码、敏感信息硬编码、提示词投毒或权限升级诱导等风险。
4. 外部 API 审计: 共识别 186 个外部 API 端点引用，均为 Maton AI 官方 API 网关或第三方知名服务商（Slack、GitHub、Google、Stripe 等）的官方端点，无可疑域名或短链接。
5. 建议: 该 Skill 安全可信，可放心使用。建议在使用前确认已正确配置 MATON_API_KEY 环境变量，并遵循文档中的安全最佳实践。

外部接口

> 注：以上仅列出主要 API 端点，完整列表包含 186 个外部服务引用，均为知名 SaaS 服务商的官方 API 端点。

风险发现

RISK-001

• severity: low
• category: external_api
• title: 包含大量第三方 API 端点引用
• location: /tmp/bss_skill_fjujnvgl/SKILL.md
• description:
  Skill 文档中包含 186 个外部 API 端点引用，涵盖 150+ 个第三方服务。这些引用均为示例代码中的官方 API 端点，用于说明如何通过 Maton API 网关访问对应服务。所有端点均属于知名可信服务商，无私有或可疑域名。
• recommendation:
  无需特殊处理。使用 Skill 时确保仅连接实际需要的第三方服务，遵循最小权限原则。

RISK-002

• severity: info
• category: environment_variable
• title: 使用环境变量存储 API 密钥
• location: /tmp/bss_skill_fjujnvgl/SKILL.md (multiple lines)
• description:
  Skill 文档示例代码中使用了 MATON_API_KEY 环境变量进行身份验证。这是安全的做法，API 密钥不会硬编码在代码中，而是通过环境变量注入。
• recommendation:
  确保 MATON_API_KEY 环境变量已正确设置，且不会被意外记录到日志或提交到版本控制中。参考 Skill 文档中的"Credential Safety"章节。

RISK-003

• severity: info
• category: documentation
• title: 文档中包含可执行代码示例
• location: /tmp/bss_skill_fjujnvgl/SKILL.md
• description:
  Skill 文档中包含 bash、Python 和 JavaScript 代码示例，用于演示如何调用 Maton API。这些代码示例仅存在于文档中，无实际可执行脚本文件。代码示例使用标准库进行 HTTP 请求，无危险函数调用。
• recommendation:
  运行文档中的代码示例前，请确保理解其功能，并根据实际需求修改参数。

改进建议

1. 环境变量配置

描述: Skill 需要 MATON_API_KEY 环境变量才能正常工作。
建议:

# 在 ~/.bashrc 或 ~/.zshrc 中添加
export MATON_API_KEY="your_api_key_here"

# 或使用 .env 文件（确保已添加到 .gitignore）
echo "MATON_API_KEY=your_api_key_here" > .env

2. 最小权限原则

描述: Skill 支持连接 150+ 个第三方服务，应仅连接实际需要的服务。
建议:

• 仅创建当前任务所需的服务连接
• 优先使用只读权限（read-only scopes）
• 任务完成后及时删除不再需要的连接

3. 连接管理

描述: 使用 Maton API 网关时需要管理服务连接状态。
建议:

# 列出所有活跃连接
maton connection list --status ACTIVE

# 删除不再需要的连接
maton connection delete {connection_id}

4. 非 GET 请求确认

描述: Skill 文档强调所有 POST/PUT/PATCH/DELETE 请求需要用户明确确认。
建议:
在执行任何修改数据的操作前，Agent 会展示完整的请求详情（连接 ID、端点路径、请求体、预期结果），请仔细确认后再批准执行。

5. 凭证轮换

描述: 如果怀疑 API 密钥可能已泄露，应立即轮换。
建议:

• 访问 https://maton.ai/settings 生成新的 API Key
• 更新环境变量中的 Key
• 在旧 Key 的 24 小时宽限期结束后将其删除

报告生成时间: 2026-07-14 | CLS-Certify v2.1.0 | 检测模式: T-MD (Pure Markdown)