待确认安全问题：Semgrep 静态扫描发现代码安全候选项

[bjw9808]

状态：待确认安全问题，来源是本地静态安全扫描工具 Semgrep OSS 1.167.0。
说明：这不是已确认漏洞结论，需要仓库 owner 结合运行路径、测试夹具、文档样例和部署方式人工确认。
扫描时间：2026-06-21。
扫描范围：tracked-only 快照，只扫描 Git 跟踪文件；未扫描未跟踪文件、.env、缓存、node_modules、agent 临时文件。
仓库：EvoMap/awesome-agent-evolution
本地路径：/Users/jianwei.bao/Desktop/workinginEvoMap/awesome-agent-evolution

摘要

• Semgrep 候选数量：4
• ERROR：4
• WARNING：0
• INFO：0

按严重级别统计

项目	数量
ERROR	4

按规则统计

项目	数量
javascript.lang.security.detect-child-process.detect-child-process	4

明细

级别	规则	文件	行
ERROR	javascript.lang.security.detect-child-process.detect-child-process	scripts/check-links.js	22
ERROR	javascript.lang.security.detect-child-process.detect-child-process	scripts/discover-projects.js	74
ERROR	javascript.lang.security.detect-child-process.detect-child-process	scripts/monitor-github.js	63
ERROR	javascript.lang.security.detect-child-process.detect-child-process	scripts/update-stars.js	28

建议确认

1. 先确认 ERROR 级别是否真实可控、是否处于生产/CI/发布路径。
2. 对 command injection、GitHub Actions shell injection、SQL/路径/SSRF/XSS 类规则优先做数据流确认。
3. 对 benchmark、fixture、demo、文档样例中的命中可以标记为测试/样例并考虑加局部忽略。