安全扫描
OpenClaw
扫描中
medium confidence该插件似乎实现了合法的飞书webhook通道,但仓库工件和日志行为引入了潜在的凭证泄露风险以及README/SKILL.md与包中包含文件之间的轻微不一致。
安全有层次,运行前请审查代码。
版本
latestv0.1.42026/4/3
● Pending
安装命令 点击复制
官方npx clawhub@latest install @pfyuan/openclaw-feishu-hono
镜像加速npx clawhub@latest install @pfyuan/openclaw-feishu-hono --registry https://cn.clawhub-mirror.com
插件文档
OpenClaw Feishu Hono Plugin
使用 Hono 的 OpenClaw 飞书聊天插件(默认无外部数据库依赖)。
能力
- 接收飞书
im.message.receive_v1文本消息(Webhook) - 将消息交给 OpenClaw 标准 reply pipeline 生成回复
- 自动把回复发送回飞书(支持 replyTo)
- 通过稳定的
sessionKey规则维护会话线程(chat_id + thread_id)
目录结构
index.ts: OpenClaw 插件入口src/channel/plugin.ts: ChannelPlugin 定义(config/outbound/gateway)src/gateway/server.ts: Hono 服务生命周期src/gateway/inbound.ts: 入站消息 -> OpenClaw dispatch
配置与环境变量策略
- 只使用 OpenClaw 配置文件中的
channels.feishu-hono。 - 插件不会读取
FEISHU_APP_ID / FEISHU_APP_SECRET等环境变量(避免被安全扫描判定为凭据外流风险)。
安装与构建
pnpm install
pnpm typecheck
pnpm build构建后会生成:
dist/index.mjs(插件入口)bin/openclaw-feishu-hono.js(CLI bin 包装器)
OpenClaw 配置示例
~/.openclaw/config.json 中加入:
{
"channels": {
"feishu-hono": {
"enabled": true,
"appId": "cli_xxx",
"appSecret": "xxx",
"verificationToken": "verify_xxx",
"webhookPort": 8787,
"webhookPath": "/webhook/feishu"
}
}
}飞书事件订阅
在飞书开放平台:
- 添加事件
im.message.receive_v1 - Request URL 配置为:
http://<your-host>:8787/webhook/feishu
- 如果开启 verification token,确保与插件配置一致
说明
- 当前仅处理文本消息,非文本消息会忽略。
sendMedia会降级为文本形式发送媒体 URL。- 线程 key 规则:
<route.sessionKey>:thread:<thread_id>。 - 不读取
FEISHU_*环境变量,所有配置从channels.feishu-hono获取。
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制