Hunter Community
已认领HunterCode · Community Edition · 腾讯 WorkBuddy 金融版的开源本地替代方案 · open-source, local alternative to Tencent WorkBuddy Finance Edition · 多智能体投研终端 A股/港股/美股 · 推理在你机器上跑 · 仓位不出你硬盘 · BYOK · Apache 2.0 · docker compose 自托管
更多Finance服务器
浏览完整目录
安全概况
暴露面: 广泛
同时触及多个敏感区域。安装前请阅读清单。
通过静态阅读发布代码得出的、此服务器能触及的范围。没有执行任何代码，这里的内容也不是判决：浏览器工具必须运行命令，API 封装必须调用它的 API。请自行判断是否适合你的环境。
检测到
- 与外部服务通信
发起对外请求。主机会被列出，便于你了解数据去向。
api.bls.gov, api.deepseek.com, api.github.com, api.nasdaq.com, api.openai.com, api.polygon.io, api.star-history.com, data.alpaca.markets, data.sec.gov
- 批量读取环境变量
复制或枚举整个环境，其中可能包含其他工具的密钥。
- 运行 shell 命令
在你的机器上启动进程。对命令、浏览器和构建类工具来说属于预期行为。
- 运行时加载代码
使用 eval、动态导入或编码载荷，静态审查无法完全跟踪。
- 读写其他代理的配置
触碰 ~/.claude、~/.codex 或 ~/.cursor 等目录，这些目录存放设置，有时也存放密钥。
- 访问凭据文件
引用 SSH 密钥、云凭据文件或令牌存储。
- 读取本地配置文件
加载 .env、.npmrc 或配置文件。对需要 API 密钥的服务器来说很正常。
- 未经检查地传递模型输出
模型输出未经验证就进入 HTML、SQL 或 shell。
- 运行时执行未固定版本的包
不带版本号执行 npx 或 uvx，上游若被入侵，恶意版本会被运行。
带有已知公告的依赖
在与 OSV.dev 比对的锁文件和清单中未发现。
未纳入概况
文档、配置或 CI 文件中的 52 处模式匹配已记录，但不属于概况，因为服务器运行时它们不会执行。 拥有者仪表板会列出它们。