by 安全扫描
OpenClaw
可疑
medium confidence该技能的主张目的（基于主机的浏览器自动化）合理，但 SKILL.md 和注册元数据在所需凭据和安全声明上存在不一致。安装插件涉及拉取代码（npm/GitHub）和编辑全局代理配置，可能暴露凭据。
评估建议
["安装前，请注意注册元数据未列出所需凭据，但指示要求在 OpenClaw 配置中设置 RIDDLE_API_KEY — 确认密钥存储位置和使用方式。","在检查插件包 (@riddledc/openclaw-riddledc) 或其 GitHub 仓库和验证校验和/CODE 之前，不要将插件添加到 plugins.allow 或编辑 ~/.openclaw/openclaw.json。","了解隐私风险：发送 cookie、本地存储和头部到第三方浏览器服务将暴露会话令牌和可能的个人身份信息（PII） — 仅使用一次性或明确同意的凭据。","通过审查插件源代码和运行时策略，验证网络允许列表和声明（仅 api.riddledc.com，无对话历史访问）；SKILL.md 的声明不是证明。","如果数据敏感性高，优先在本地运行 Playwright 或在控制的环境中运行，或者使用短暂凭据和最小作用域。","如果继续，先使用最小、非敏感示例进行测试，并确认包的来源（npm 发布者、GitHub 仓库、CHECKSUMS.txt/SECURITY.md）并在有任何问题时联系 security@...详细分析 ▾
ℹ 用途与能力
技能名称/描述（基于主机的浏览器 API）与描述的操作（截图、Playwright 脚本、工作流）匹配。但注册元数据未列出所需环境变量或主凭据，而 SKILL.md 明确指示在 OpenClaw 配置中获取和配置 RIDDLE_API_KEY — 这是一个内部不一致。安装步骤（openclaw plugins install @riddledc/openclaw-riddledc）与此目的的 node 插件一致。
⚠ 指令范围
SKILL.md 指示用户/代理安装插件，添加到 plugins.allow（编辑 ~/.openclaw/openclaw.json），重启网关，并配置 API 密钥。它还记录了将 cookie、本地存储或自定义头部传递给 Riddle 以访问认证页面 — 一个合法功能，但它使得发送会话令牌和其他敏感数据到外部服务成为可能。文档声称插件无法读取对话历史或将 API 密钥发送到其他地方，但这些只是散文声明，无法从此仅指令的技能中验证。
⚠ 安装机制
SKILL.md 指向通过 OpenClaw CLI（npm 支持）安装 node 插件 (@riddledc/openclaw-riddledc)。从 npm/GitHub 拉取插件是一条常见的安装路径，但注册元数据列出 Source: 未知，并且技能包中未包含任何包/代码用于审计。直到您验证实际包内容、来源和 README 中引用的校验和之前，这使得安装成为一个中等风险。
⚠ 凭证需求
元数据声明没有所需的环境变量或主凭据，但指示要求在 OpenClaw 配置中存储 RIDDLE_API_KEY。SKILL.md 还解释了如何将 cookie、本地存储和自定义头部转发到 Riddle；这些对于访问私有页面是合法的，但由于它们可以将会话令牌、SSO cookie 或其他秘密暴露给第三方服务，因此是高风险操作。声明的政策仅需要 RIDDLE_API_KEY（仅发送到 api.riddledc.com）是一项声明，但未被包中任何内容强制执行。
ℹ 持久化与权限
该技能不请求 always: true 且是用户可调用（正常）。然而，安装需要将插件添加到全局 plugins.allow 列表并重启网关（编辑 ~/.openclaw/openclaw.json），这修改了全局代理配置并使插件可用于未来代理运行。这种配置更改对于插件是预期的，但如果插件表现出恶意行为，它会增加影响范围；将其视为应先审查的权限授予。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.1.02026/2/7
添加快速入门、定价和参考链接
● 无害
安装命令 点击复制
官方npx clawhub@latest install riddle
镜像加速npx clawhub@latest install riddle --registry https://cn.clawhub-mirror.com
技能文档
简介
Riddle 提供一个基于主机的浏览器自动化 API，支持截图、Playwright 脚本执行和工作流管理，无需本地 Chrome。快速入门
- 安装插件：
openclaw plugins install @riddledc/openclaw-riddledc - 编辑配置：在
~/.openclaw/openclaw.json中添加插件到plugins.allow - 配置 API 密钥：在 OpenClaw 配置中设置
RIDDLE_API_KEY
定价和参考链接
请参阅 官方文档 获取更多信息。数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制