by 安全扫描
OpenClaw
可疑
medium confidence该技能声称的目的是通过CreditClaw赋予Agent消费能力，这与它的指令和所需凭证相匹配，但在安装前有几个不一致之处和高风险操作细节需要了解。
评估建议
该技能似乎是针对托管在creditclaw.com的服务的合法支付集成，只要求一个API密钥，这是预期的。安装前的关键要点：1) 验证命名不匹配——注册表条目提到'Checkout.com'，而技能使用'CreditClaw'和creditclaw.com；确认您是有意授予对CreditClaw的访问权限而非其他提供商。2) 将CREDITCLAW_API_KEY视为高价值密钥：只有在信任creditclaw.com及其运营者时才提供。3) 在启用技能前配置所有者控制：将approval_mode设置为'ask_for_everything'，并为初始测试设置较低的每笔交易/每日/每月限额。4) 理解Agent将被指示检索一次性解密密钥并在内存中解密持卡人详情；确认您的Agent执行环境不会记录或持久化解密的卡数据。5) 由于技能执行运行时网络获取文档并依赖webhooks/消息，请审查服务的隐私/安全文档和声誉，并考虑先用虚拟/有限钱包测试。如果想要更高的保证，请发布者澄清Checkout.com命名并提供creditclaw.com控制证明（如官方域名所有权或企业身份）。...详细分析 ▾
ℹ 用途与能力
该技能的功能（创建结账页面、发票、钱包签名、加密卡结账）与请求单个CREDITCLAW_API_KEY是一致的。但技能标题和注册表名称引用'Checkout.com'，而每个文件和主页都使用'creditclaw.com'/'CreditClaw'——这种命名/品牌不匹配可能是偶然的或具有误导性的。除了命名不一致之外，请求的凭证与所描述的支付功能是相称的。
⚠ 指令范围
SKILL.md和配套文件明确指示Agent调用多个CreditClaw端点（余额、结账、加密卡密钥检索），接收或轮询加密持卡人卡数据的webhooks/消息，检索一次性解密密钥，执行AES-256-GCM内存解密，并使用解密的卡数据进行商户结账。所有这些都在声明的用途范围内，但它赋予了Agent处理高价值密钥（持卡人详情）和发起真实购买的能力。指令还告诉Agent在运行时从外部URL获取额外文档，这引入了运行时网络依赖性和行为可能在更新时发生变化的问题。
✓ 安装机制
这是纯指令形式，没有安装规范，也没有代码文件需要在主机上写入或执行。这最大程度地降低了安装时的风险。根据文档，运行时需要调用creditclaw.com进行网络请求。
✓ 凭证需求
只需要单个环境变量/凭证：CREDITCLAW_API_KEY。这对于支付API是合适的。元数据中没有请求无关的凭证、系统路径或额外密钥。
ℹ 持久化与权限
该技能不是始终启用的，也不请求提升的平台权限。但是，它赋予了Agent在被调用时自主进行或请求购买的能力。结合指令级别的解密和使用卡数据以及签署x402支付的能力，这使该技能具有重大的实际影响——在启用自主使用之前，请确保已配置approval_mode和消费限额。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.2.12026/3/13
重大更新：CreditClaw支付轨道集成取代传统PayPal重点。- 添加了涵盖加密卡结账、Stripe x402钱包、Crossmint钱包、金融管理和心跳检查的新技能文件 - 从PayPal API集成过渡到CreditClaw的多轨道支付和钱包平台，适用于Agent和机器人 - 用CreditClaw的安全、注册、支付流程和审批模型替换了之前详细的PayPal webhooks、OAuth和API模式 - 强调强大的安全防护、消费审批和所有者对Agent金融活动的控制 - 更新文档以引用新端点、使用说明和文件结构；删除遗留的PayPal文档文件
● 可疑
安装命令 点击复制
官方npx clawhub@latest install checkout
镜像加速npx clawhub@latest install checkout --registry https://cn.clawhub-mirror.com
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制