Local Resume Autofill

Eine lokal arbeitende Edge/Chrome-Erweiterung zum automatischen Ausfüllen von Lebensläufen mit klar definierten Datenschutzgrenzen. Der Lebenslauf wird mithilfe eines aus einer Passphrase abgeleiteten Schlüssels verschlüsselt; die Seitenadapter bestehen aus überprüfbarem, deklarativem JSON, und Agents wie Codex können ausschließlich maskierte Seitenstrukturen und synthetische Testdaten verarbeiten.

[!WARNING] Die aktuelle Version ist eine Entwicklervorschau. Die Adapter für Tencent, Alibaba, ByteDance, JD, Meituan, Pinduoduo und Kuaishou sind fixture-verified, das tatsächliche Ausfüllen wurde jedoch noch nicht auf realen Bewerbungskonten für jede Website verifiziert. Die Erweiterung speichert lediglich lokale Pfadverweise auf Anhänge, liest keine Dateien aus, lädt keine hoch und sendet niemals automatisch Bewerbungen ab.

Zentrale Grenzen

• Die Produktionserweiterung fordert nur storage, activeTab und scripting an.

• Es gibt kein <all_urls>, kein dauerhaft residentes Content-Script, keine Telemetrie, keine Cloud-Synchronisierung und keine Remote-Regeln.

• Der Lebenslauf wird mit PBKDF2-SHA-256 (310.000 Iterationen) und AES-256-GCM verschlüsselt.

• Anhänge wie PDF-/Word-Lebensläufe, Zeugnisse und Portfolios werden nur als „Name + lokaler Pfad“ gespeichert und zusammen mit den übrigen Daten verschlüsselt.

• Das Passwort wird nicht gespeichert; der Sitzungsschlüssel liegt ausschließlich in chrome.storage.session und verfällt nach einem Browser-Neustart.

• Seiten-Skripte können den Tresor weder über window.postMessage noch über externe Nachrichten auslesen.

• Vor dem ersten Ausfüllen auf einer Website wird die Autorisierung anhand des exakten Hostnamens bestätigt.

• Es werden nur die Felder gesendet, die auf der aktuellen Seite verwendet werden sollen; der vollständige Lebenslauf wird nicht an das Content-Script übergeben.

• Anhangspfade fließen nicht in Feldabgleich, Ausfüllplan, maskierte Captures oder MCP ein; das Popup kopiert einen Pfad nur, wenn der Benutzer darauf klickt.

• Nach dem Ausfüllen prüft der Benutzer das Ergebnis und reicht es manuell ein.

Vollständige Grenzen siehe SECURITY.md und Architekturdokumentation.

Related MCP server: PhantomAuth

Installation der Entwicklungsversion

Erforderlich sind Node.js 20+ sowie Microsoft Edge oder Google Chrome.

npm ci
npm run check
npm run build

1. Öffnen Sie edge://extensions oder chrome://extensions.

2. Aktivieren Sie den „Entwicklermodus“.

3. Klicken Sie auf „Entpackte Erweiterung laden“ und wählen Sie das Verzeichnis dist/extension aus.

4. Öffnen Sie in der Erweiterung „Lebenslauf & Berechtigungen“, erstellen Sie einen Tresor und erfassen Sie Ihre Daten.

Verwendung

1. Fügen Sie unter „Lebenslauf & Berechtigungen“ im Bereich „Anhangsspeicherort“ den Anhangsnamen und einen Windows-Absolutpfad hinzu, z. B. D:\Documents\resume.pdf.

2. Klicken Sie auf der Bewerbungsformular-Seite auf das Erweiterungssymbol und anschließend auf „Vorschau“, um die Feldreferenzen zu prüfen.

3. Klicken Sie auf „Ausfüllen“. Bei einem neuen Hostnamen wird zuerst eine Autorisierungsbestätigung angezeigt.

4. Wenn ein Anhang benötigt wird, kopieren Sie im Popup unter „Anhangsspeicherort“ den entsprechenden Pfad, fügen Sie ihn in die System-Dateiauswahl ein und bestätigen Sie die Datei anschließend manuell.

5. Prüfen Sie die Ergebnisse auf der Seite; Captchas und das Absenden erledigen Sie manuell.

Der Browser legt den echten absoluten Pfad der ausgewählten Datei gegenüber der Webseite nicht offen, daher müssen Pfade manuell eingegeben werden. Die Erweiterung prüft nicht, ob die Datei existiert, öffnet keinen Datei-Explorer und greift nicht in <input type="file"> ein.

„Erfassen“ exportiert eine *.capture.json ohne Eingabewerte, Auswahlwerte, Anhangsnamen oder Screenshots. Die Capture-Datei kann dennoch Seitentitel und Struktur enthalten und wird standardmäßig nicht in Git übernommen.

Aktuelle Adapter

Bedeutung der Statusangaben und Vorgehen beim Hinzufügen neuer Adapter siehe Adapterentwicklung.

Codex oder andere Agents anbinden

Dieses Projekt stellt einen lokalen STDIO-MCP-Server bereit. Er kann ausschließlich auf die Adapter, maskierten Captures und Fixtures im Repository zugreifen; den Browser-Tresor, Lebenslaufwerte oder Anhangspfade kann er nicht lesen.

npm run build
Copy-Item .codex/config.toml.example .codex/config.toml
codex mcp list

Projektweite MCP-Konfiguration darf nur in vertrauenswürdigen Repositorys verwendet werden. Bezüglich STDIO, projektweiter Konfiguration und der Freigabe für Clients gilt für Codex die offizielle OpenAI-MCP-Dokumentation. Andere MCP-fähige Agents können sich mit derselben dist/mcp/server.js verbinden.

Detaillierte Tools und Bestätigungsabläufe siehe MCP-Integration.

Verifizierung

npm run typecheck
npm run test:unit
npm run test:integration
npm run test:e2e
npm run audit:extension

Aktueller Umfang der Regressionstests:

• 44 Unit-Tests: Tresor-Migration, Validierung und Kopieren von Anhangspfaden, Manipulationserkennung, Maskierung, eindeutige Selektoren, DOM-Scan und -Steuerung, Fixtures für 7 Websites, MCP-Pfade und zweistufige Installation.

• 1 realer STDIO-MCP-Integrationstest: Handshake, Tool-Erkennung, Adapter-Enumeration und Fixture-Ausführung.

• 2 End-to-End-Tests der Edge-Erweiterung: MV3-Laden, Scan-Maskierung, Anhangspfad-Verschlüsselung/-Anzeige/-Kopieren, Datei-Control-Isolierung, Seiten-Ausfüllen, Hostname-Autorisierung, kein Absenden und null externe HTTP(S)-Anfragen.

• Statische Prüfung des Produktionspakets: Berechtigungen, dauerhafte Injektion, Seiten-Nachrichtenbrücke, Netzwerk-APIs und Storage-Zugriff von Content-Scripts.

Entwicklung

• Architektur und Bedrohungsmodell

• Sicherheits-Selbstprüfung vor dem v0.4.0-Release

• Adapterentwicklung

• MCP-Integration

• Beitragshinweise

• Versionsverlauf

Das Projekt steht unter der MIT-Lizenz. Die Namen der Karrierewebsites Dritter dienen lediglich der Kompatibilitätsbeschreibung; dieses Projekt ist weder mit diesen Unternehmen verbunden noch von ihnen unterstützt.