by 安全扫描
OpenClaw
可疑
medium confidence该技能的代码大多符合其声明的本地播客目的，但存在多个文档/元数据不匹配（未披露的必需秘密，如 ElevenLabs 和 Google/OAuth）、检测到提示注入模式以及其他小不一致，你应该在本地运行之前进行审查。
评估建议
["1. 检查缺失/未记录的凭据：SKILL.md 和 package.json 提及 GEMINI_API_KEY 和 OPENAI_API_KEY，但 config/secrets.js 引用 ELEVENLABS_API_KEY，应用程序包括 googleapis 和 Google Sign-In 客户端——这强烈建议你也需要 Google OAuth（客户端 ID/密钥或 OAuth 令牌）和可能的 ElevenLabs 密钥。确认确切的环境变量（以及如何存储凭据/令牌）在提供秘密之前。","2. 检查省略的文件：评估截断了几个文件（youtube.js、linkedin.js、utils/geminiClient.js 等）。打开这些文件并验证如何处理令牌/刷新令牌，是否将凭据发送到第三方端点，是否将任何凭据持久存储到磁盘或上传到外部。","3. 提示使用：应用程序发送明确的系统样式提示到 AI SDK。这对于组成/格式化输出是预期的，但请审查这些提示字符串以查找任何不想要的数据泄漏指令或隐藏指令。","4. 网络与 SSRF 保护：ingest 路由包括基于 DNS 的 S...详细分析 ▾
⚠ 用途与能力
The code implements a local multi-modal podcast pipeline (ingest, draft, TTS, image render, YouTube upload) which is coherent with the skill description. However registry metadata claims no required env vars while the SKILL.md and package.json explicitly require GEMINI_API_KEY and OPENAI_API_KEY. Additionally, config/secrets.js references ELEVENLABS_API_KEY and the package.json includes googleapis — implying Google OAuth / YouTube credentials — but these are not documented in SKILL.md or registry metadata. These omissions are inconsistent and require clarification.
ℹ 指令范围
SKILL.md instructs running a local Node app and setting GEMINI_API_KEY/OPENAI_API_KEY and FFmpeg; the code binds to 127.0.0.1 and exposes local endpoints as described. Most runtime instructions and endpoints in the code stay within the stated purpose. Caveats: SKILL.md (and the code) use explicit system-style prompts when calling the Gemini/OpenAI SDKs (a pattern flagged by the prompt-injection scanner), and some environment variables (ElevenLabs, likely Google OAuth/credentials) are referenced in code but not in the human-facing setup doc. Also, verify routes not shown (youtube/linkedin and other omitted files) for any unexpected external data sinks or credential handling.
✓ 安装机制
There is no special installer; this is an instruction/code bundle intended to be run with npm install/node. The repository uses common npm packages from the registry (googleapis, openai, axios, ffmpeg wrapper, etc.). No downloads from ad-hoc URLs or archive extraction steps are present in the manifest. Installing dependencies via npm is the expected approach for this type of project.
⚠ 凭证需求
SKILL.md and package.json declare GEMINI_API_KEY and OPENAI_API_KEY which are appropriate for text generation and transcription/synthesis. However: config/secrets.js references ELEVENLABS_API_KEY (not listed in SKILL.md), and googleapis in dependencies plus client-side Google Sign-In imply Google/YouTube credentials are needed but are not documented. The mismatch between declared/required env vars in metadata vs. code is disproportionate and should be resolved before use.
✓ 持久化与权限
The skill does not request always:true and does not modify other skills' configs. The server binds to localhost only (index.js explicitly listens on 127.0.0.1) which reduces remote exposure. Autonomous invocation by the agent is enabled by default (disable-model-invocation=false) but that is platform normal and is not by itself a reason to distrust the skill.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.142026/3/20
更新 README.md 中的文档用词和格式（无功能或功能性更改）。 - 澄清了所有现有 API 端点的描述和目的。 - 设置和系统要求保持不变。
● 无害
安装命令 点击复制
官方npx clawhub@latest install omnicast
镜像加速npx clawhub@latest install omnicast --registry https://cn.clawhub-mirror.com
技能文档
描述
Omnicast Studio 是一个本地 Node.js 应用，提供多模态管道用于处理文本、音频和视频，生成播客脚本和社交媒体资产。它通过一组本地 API 端点来编管这些任务。设置要求
此应用程序要求在本地.env 文件中设置以下环境变量：
GEMINI_API_KEY：用于文本分析、翻译和脚本草拟。
OPENAI_API_KEY：用于音频转录和合成。
PORT：默认为 7860。
系统要求：
Node.js >= 20.0.0
FFmpeg 安装并可用在系统 PATH 中。API 端点 (本地主机:7860)
服务严格运行在http://127.0.0.1:7860。以下端点可用：
1. 媒体摄入
端点:POST /api/ingest
目的: 接受 URL 或文件上传。它提取文本，检测语言，并如果必要，翻译为英文。
2. 脚本草拟
端点:POST /api/draft-script
目的: 利用摄入的文本格式化一个适合音频合成的对话式双主持脚本。
3. 音频合成
端点:POST /api/synthesize
目的: 将草拟的脚本转换为最终音频文件，使用 TTS 服务。
4. LinkedIn 包装
端点:POST /api/generate-linkedin
* 目的: 生成社交媒体文本帖和渲染一个带有合成音频的播客封面艺术的循环 MP4 视频。数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制