by 安全扫描
OpenClaw
可疑
medium confidence技能文件与运行指令基本符合本地 TTS/语音克隆用途，但安装与运行脚本会从外部源（含意外 HF 镜像）下载代码与模型，安装持久化 systemd 服务并执行二进制文件——这些选择与功能一致，却带来较高风险，安装前需人工审查。
评估建议
该包功能上符合本地 TTS/语音克隆技能，但请勿盲目安装。安装前：1）检查 xdp-tts-service 的 pip 包源码是否可信；2）核对模型下载源——setup_env.sh 默认将 HF_ENDPOINT 设为 https://hf-mirror.com（意外第三方镜像）。若不信任该镜像，请覆盖 HF_ENDPOINT 或确保 hf CLI 指向官方 huggingface.co 仓库；3）通读 server.js（其会派生子进程并处理上传）查看调用的外部命令（如 ffprobe）；4）注意安装器会创建用户级 systemd 服务并启用/启动，同时写入 ~/.openclaw/openclaw.json（会备份）。若需降低风险，请在隔离 VM/容器内执行安装步骤，或用 setup_env.sh --skip-deps 先生成配置再审查。若发现陌生镜像、异常 pip 包或意外 exec 调用，请勿启用服务，应寻找可信上游源。...详细分析 ▾
✓ 用途与能力
名称/描述（本地 OpenVINO Qwen3-TTS 用于 QQBOT 工作流）与所含脚本及服务器一致：Node 工作流网关、Flask TTS 服务、向 OpenClaw 注入配置。脚本仅修改 channels.qqbot.xeonTts 并在写入前备份 OpenClaw 配置，符合声明意图。
ℹ 指令范围
SKILL.md 与脚本指示代理安装 Python 环境、系统包、注册用户级 systemd 服务、修改 ~/.openclaw/openclaw.json、下载模型并将上传音频保存至本地 references/ 与 outputs/。这些操作在所述 TTS 工作流范围内，但包含写入用户配置、启用自启服务与网络请求——均超出纯“指令类”技能范畴，需操作员明确授权。
⚠ 安装机制
安装过程下载并执行软件：repo.anaconda.com 的 Miniconda（预期）、PyPI 的 xdp-tts-service，以及通过 Hugging Face CLI 下载模型。值得注意的是，setup_env.sh 默认导出 HF_ENDPOINT=https://hf-mirror.com 与 HF_HUB_ENABLE_HF_TRANSFER=0，将 HF 操作重定向至第三方镜像——出乎意料并带来供应链风险。模型下载与 pip 安装会写入并执行代码，继续前请审查来源。
✓ 凭证需求
技能未声明或要求任何密钥环境变量或云凭证。它接受可选环境覆盖（BASE_MODEL_REPO、CUSTOM_MODEL_REPO、XDP_TTS_PIP_SPEC 等）以控制模型与包位置；这些对任务合适，但并非强制密钥。
ℹ 持久化与权限
安装器注册并启用两个用户级 systemd 服务（TTS Flask 与 Node 网关），并修改用户 OpenClaw 配置（带时间戳备份）。持久自启对本地服务合理，但扩大影响范围；技能未设 always:true，但启用服务与写入配置均属需操作员批准的持久权限。
⚠ server.js:442
检测到 shell 命令执行（child_process）。
⚠ self_check.sh:41
检测到动态代码执行。
⚠ .clawhub.json:13
安装源指向 URL 缩短器或裸 IP。
⚠ config.example.json:3
安装源指向 URL 缩短器或裸 IP。
⚠ server.js:37
文件读取结合网络发送（可能外泄）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.42026/3/19
XeonTTS 0.1.4 为 OpenClaw QQBOT 引入本地 TTS 技能，支持语音克隆与自定义音色合成。 - 安装双本地 TTS 服务（Flask TTS 端口 5002，Node 工作流端口 9002）并仅自动配置 `channels.qqbot.xeonTts`。 - 提供两大工作流：语音克隆（严格 3-5 秒参考音频检查）与自定义音色 TTS。 - 与 xeonasr 共存设计，确保不干扰 STT/ASR 链路。 - 对输入/输出强制时长限制，并向用户明确文件保留期限。 - 安装脚本自动完成环境搭建、模型下载、服务配置与 systemd 注册。 - 新增工作流管理端点与改进故障诊断指引。
● 无害
安装命令 点击复制
官方npx clawhub@latest install xeontts
镜像加速npx clawhub@latest install xeontts --registry https://cn.clawhub-mirror.com
技能文档
未提供 SKILL.md 内容
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制