by 安全扫描
OpenClaw
安全
high confidence该技能的权限请求、二进制文件和脚本与其声明的目的（对话式 Twitter 发布助手）一致，没有发现隐藏的数据泄露或不相关的访问行为。
评估建议
["仅提供可信的 X/Twitter 凭证，考虑创建具有有限权限的应用/令牌。","审查 package.json/package-lock.json 确认 twitter-api-v2 依赖可接受，并在受控环境中运行 npm install。","了解脚本可以直接发布推文——保留默认确认设置或先使用一次性账号测试。","仅在使用相关功能时设置可选图像/搜索 API 键。","如果需要更强的保证，请在本地审查仓库代码（尤其是脚本中的网络端点），并在隔离环境中运行技能，停止使用后旋转令牌。"]...详细分析 ▾
✓ 用途与能力
名称/描述与代码和脚本匹配：包中包含收集/搜索信息、生成推文和图片以及发布/删除推文的脚本。所需的 Node 和 X (Twitter) API 凭证对于 Twitter 发布助手是合适和预期的。
✓ 指令范围
SKILL.md 描述了 9 步对话式工作流程，包含的脚本实现了该工作流程。指令仅引用相关操作（搜索 API、图像生成服务和 Twitter 发布）。没有指令读取不相关的本地文件或收集任意系统数据。注意：脚本在调用时会直接发布推文，因此具有使用提供的凭证发布的能力（SKILL.md 指出在发布前预计用户确认）。
ℹ 安装机制
未使用高风险的任意下载；依赖来自 npm (twitter-api-v2)。存在一个小的元数据不一致：注册元数据最初注明 '无安装规格'，但 SKILL.md 包括一个 npm 安装条目，且 package.json/package-lock.json 存在 — 实际上需要 npm install 来运行代码。
ℹ 凭证需求
四个必需的环境变量正是 X/Twitter 凭证（合理）。代码还支持搜索和图像生成服务的可选 API 键（OPENAI_API_KEY, MINIMAX_API_KEY, NANO_BANANA_API_KEY, LEONARDO_API_KEY, EXA_API_KEY, BRAVE_API_KEY）。这些可选键对于描述的功能是合理的，但未列在顶级 requires.env 中 — 这是预期的，但值得注意。
✓ 持久化与权限
该技能不请求 always:true，也不尝试修改其他技能或系统范围设置。它可以自主调用（平台默认），这对于技能是正常的；结合它可以发布推文的事实，因此令牌应被信任并适当范围。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/5
X Expert 1.0.0 首发版 - 提供 9 步对话式流程，协助用户收集信息、策划及发布推文，并可定制风格与配图 - 支持集成多种搜索与图片生成服务 - 支持定时发布、内容检阅与多种受众/风格选择 - 配置简便，仅需 Twitter API 凭证和 node 环境 - 包含常见问题及安全注意事项说明
● 无害
安装命令 点击复制
官方npx clawhub@latest install x-expert
镜像加速npx clawhub@latest install x-expert --registry https://cn.clawhub-mirror.com
技能文档
这是一个智能的 X (Twitter) 发布助手，通过对话式流程帮助你创建、策划和发布推文。
使用方式
输入/x-expert 启动对话式发布流程。... （中间内容与原文相同，仅示例起始）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制