by 安全扫描
OpenClaw
可疑
medium confidence代码基本符合所述功能（Markdown → 手机 PNG），但在安装前需要了解一些不匹配项和运行时风险。
评估建议
这个工具看起来能实现其功能，但在安装或运行前请采取以下预防措施：
- 验证并修复依赖不匹配：Playwright 运行时需要但未在 package.json 中列出。请请求作者添加 playwright（或自行安装 Playwright 及其浏览器）后再运行。
- 优先从官方注册表安装包。package-lock 引用 registry.npmmirror.com；确认信任该镜像或使用官方 npm 注册表重新生成 lockfile。
- 将输入的 markdown 视为可能不受信任：marked 允许原始 HTML，代码将生成的 HTML 加载到真实浏览器中，会获取并执行外部资源。如果要转换不受信任的 markdown，请在网络隔离的沙箱中运行，或修改代码以清理 HTML（禁用 marked 中的原始 HTML 或运行清理器）并在 Playwright 中禁用网络访问。
- 由于 Playwright 启动 Chromium，请在可以接受安装大型浏览器二进制文件且已沙箱化的机器上运行该工具。如果想继续使用，请请求作者更新 package.json 包含 playwright、清晰的安装...详细分析 ▾
ℹ 用途与能力
脚本实现了所述功能（marked → HTML → Playwright 截图）并按预期将 PNG 写入 /tmp。然而 SKILL.md 和代码运行时需要 Playwright，但 package.json 未将 playwright 列为依赖项——这种不匹配意味着安装说明不完整，除非单独安装 Playwright，否则工具将失败。package-lock 条目通过 registry.npmmirror.com（镜像）解析，而非官方 npm 注册表，这不同寻常，值得验证。
⚠ 指令范围
SKILL.md 指示对 Markdown 文件运行 CLI；实现只读取提供的文件并写入 /tmp。但代码使用 marked（默认允许原始 HTML），然后在 Playwright 中执行 page.setContent(..., {waitUntil: 'networkidle'})。这将导致无头浏览器加载/执行生成的 HTML 中引用的任何外部资源（图片、字体、脚本）。如果 Markdown 包含嵌入的 HTML 或远程资源，页面可以发出出站网络请求。这相对于纯离线转换是范围蔓延，可能暴露您环境的 IP 给远程主机或导致其他网络活动。代码中没有明确的 HTML 清理。
⚠ 安装机制
未提供安装规范。package.json 只声明了 marked 和 highlight.js，但运行时需要 playwright/chromium，它体积大且平台特定，通常需要自己的安装步骤。package-lock 从 registry.npmmirror.com（第三方镜像）解析包——并非固有恶意但不同寻常；安装行为未指定，可能需要手动步骤（安装 Playwright 和浏览器）。
✓ 凭证需求
该技能不请求环境变量、凭据或配置路径。文件系统访问仅限于读取用户提供的 Markdown 文件并将输出的 PNG 写入 /tmp/md-to-img，这与其目的相称。
✓ 持久化与权限
always: false，没有迹象表明该技能会持久化或修改其他 agent/系统设置。它创建本地临时输出目录（/tmp/md-to-img）用于结果，这对于 CLI 工具来说是正常的。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv2.0.02026/3/21
此版本无重大变更。 - 未检测到文件变更。 - 文档、使用说明和技术细节保持不变。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install md-to-image
镜像加速npx clawhub@latest install md-to-image --registry https://cn.clawhub-mirror.com
技能文档
将 Markdown 文件转换为适配手机的精美长图，适合发 Telegram/小红书/朋友圈。
使用方式
md-to-image
示例
md-to-image /path/to/file.md
输出
- 格式：PNG 原图
- 宽度：1080px
- 高度：自动（内容决定）
- 特点：白底大字，对比度高，Telegram 压缩后依然清晰
技术实现
- 使用 marked.js 解析 Markdown
- 渲染为移动端优化的 HTML
- 使用 Playwright 截图
- 输出 PNG 格式
依赖
- Node.js + Playwright
- marked.js
- highlight.js
作者
Claude (OpenClaw Agent)数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制