Digital Singer — 数字歌手
v1.3.0将您的NuwaAI数字形象转变为歌唱表演者！数字形象会根据音频驱动进行口型同步的演唱动作，并配合同步的背景画面。
0· 2·0 当前·0 累计
by 安全扫描
OpenClaw
可疑
high confidence该技能总体符合NuwaAI形象歌唱的用途，但包含不匹配的组件和嵌入的API密钥/Demo密钥，这些密钥未解释且与所述的安装/运行说明不成比例。
评估建议
安装前需考虑的事项：- 在审查/移除嵌入密钥前不要运行代码：该包包含硬编码的API密钥（在chorus_agent.py和server.mjs的Demo密钥中）。这些密钥是意外的；使用它们可能会将您的使用情况暴露给第三方。如果您或您的组织曾使用过这些密钥，请立即轮换。- 明确您打算运行的组件：SKILL.md和快速入门描述的是运行Node服务器（server.mjs）和浏览器UI。还有一个独立的Python代理（chorus_agent.py）未在README中提及，行为也不同（通过afplay播放音频，使用不同的歌曲文件夹，直接调用LLM服务）。如果您只想使用Node Web UI，请不要运行Python代理。- 移除或替换硬编码凭据并使用环境变量：server.mjs已支持DASHSCOPE_*、QWEN_MODEL的环境变量，并将Nuwa凭据存储在.nuwa-config.json中。用您自己存储在环境变量或本地配置文件中的密钥替换任何嵌入的密钥，切勿将密钥提交到代码中。- 检查网络调用和端点：代码与Dashscope兼容的端点（https://dashscope.aliyunc...详细分析 ▾
⚠ 用途与能力
SKILL.md和server.mjs描述了一个Node.js Web服务器（server.mjs），驱动浏览器前端并向用户请求NuwaAI凭据和LLM API。然而，该包还包含一个听起来不相关的Python代理（chorus_agent.py），它有自己的硬编码Dashscope API密钥和不同的歌曲目录约定。Python代理和内置凭据的存在在SKILL.md中以Node为中心的快速入门中没有得到证明，看起来不协调。
⚠ 指令范围
SKILL.md指示用户运行node server.mjs并将歌曲文件放置在技能根目录；它没有提到运行chorus_agent.py。另一方面，chorus_agent.py期望音频文件在'清唱'文件夹中，使用嵌入的API密钥调用Dashscope，并通过afplay（macOS）运行本地播放。说明中没有提到这些行为，因此运行时行为可能与用户期望的不同。
ℹ 安装机制
没有安装规范（仅限指令），这限制了自动安装风险。package.json声明了一个依赖（ws），这对于WebSocket前端来说是合理的。根据SKILL.md，需要Node.js和ffmpeg——这与媒体处理用例相称。没有远程下载或从URL提取的安装。
⚠ 凭证需求
SKILL.md请求NuwaAI API密钥和LLM配置（DASHSCOPE_BASE_URL、DASHSCOPE_API_KEY）。这些是合理的。但代码库包含硬编码的API密钥（参见chorus_agent.py和server.mjs DEMO_CONFIG），嵌入在文件中而不是声明为所需的环境变量；这既泄露了秘密，也表明发布的代码可能在用户未明确配置的情况下调用外部LLM端点。该技能也没有在元数据中声明所需的环境变量，尽管需要LLM和NuwaAPI凭据。
✓ 持久化与权限
always为false，没有迹象表明该技能强制启用自己。服务器写入本地.nuwa-config.json以持久化用户输入的NuwaAI凭据，这与描述的UI行为一致。没有其他系统范围或跨技能的修改。
⚠ server.mjs:462
检测到Shell命令执行（child_process）。
⚠ server.mjs:21
环境变量访问与网络发送结合。
⚠ server.mjs:31
文件读取与网络发送结合（可能存在数据泄露）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.3.02026/4/16
从默认值中移除了私有部署URL和API密钥。清理.nuwa-config.json以使用占位符。
● Pending
安装命令 点击复制
官方npx clawhub@latest install digital-singer
镜像加速npx clawhub@latest install digital-singer --registry https://cn.clawhub-mirror.com
技能文档
未提供SKILL.md文档内容，无法翻译。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制