by 安全扫描
OpenClaw
可疑
medium confidence该技能的目的（使用 Claude 和 Gemini 的 Web 界面生成代码/图像）合理，但其运行时指令要求和持久用户凭据、引用硬编码用户路径，并假设无声明依赖的浏览器自动化 — 这些不一致令人担忧。
评估建议
安装前，请考虑：(1) 避免分享真实账户密码 — 如果可用，偏好官方 API 密钥或 OAuth/会话令牌；(2) 不允许代理在明文文件中存储密码；如果必须提供凭据，请使用一次性账户并后续撤销；(3) SKILL.md 假设浏览器自动化但未声明所需工具（如 Playwright/Selenium） — 确认技能如何控制浏览器；(4) 该技能引用硬编码路径（/home/rasberry/...），可能不匹配您的环境，可能导致意外文件写入；(5) 如果继续，请在任何凭据使用或持久化之前要求明确提示，并审计任何保存的文件；如果这些问题不可接受或无法更正，请将技能视为不可信任并不安装。...详细分析 ▾
⚠ 用途与能力
描述的目标（当 API 不可用时使用 Claude/Gemini Web 界面）与导航站点和提交提示的指令相符。然而，该技能要求代理提示和存储第三方登录凭据，并将文件写入特定的主目录路径（/home/rasberry/...），而技能未声明任何必需的配置路径、二进制文件或凭据 — 这种不匹配是不成比例的且未解释的。
⚠ 指令范围
SKILL.md 明确指示代理要求用户提供站点凭据，尝试登录，并“以安全模式保存凭据”。它还指示下载文件到特定的文件系统路径，并通过 GUI/手动步骤与 CAPTCHA 交互。这些操作涉及敏感数据处理和超出简单提示/响应工作流的持久文件系统访问。
ℹ 安装机制
没有安装规范（仅指令），这减少了一些风险。然而，指令隐含地要求浏览器自动化能力（控制浏览器、检测会话状态、填充登录表单、处理下载和 CAPTCHA），但未声明任何必需的二进制文件/库或解释如何执行这些操作 — 实践中增加风险的操作缺口。
⚠ 凭证需求
该技能在运行时从用户请求凭据并指示代理存储它们，但未声明任何环境变量或秘密处理机制。请求和持久存储站点密码非常敏感，应得到证明和约束（例如，使用 OAuth，短暂会话）。硬编码的主目录路径是另一个不成比例和脆弱的期望。
⚠ 持久化与权限
尽管 always:false 且未通过元数据获得自主特权，但指令明确要求保存凭据并将生成的图像写入特定的工作空间位置 — 暗示代理环境的持久性更改。该技能未声明或证明持久存储或凭据如何保护。
安装前注意事项
- 避免分享真实账户密码 — 如果可用，偏好官方 API 密钥或 OAuth/会话令牌；
- 不允许代理在明文文件中存储密码；如果必须提供凭据，请使用一次性账户并后续撤销；
- SKILL.md 假设浏览器自动化但未声明所需工具（如 Playwright/Selenium） — 确认技能如何控制浏览器；
- 该技能引用硬编码路径（/home/rasberry/...），可能不匹配您的环境，可能导致意外文件写入；
- 如果继续，请在任何凭据使用或持久化之前要求明确提示，并审计任何保存的文件；如果这些问题不可接受或无法更正，请将技能视为不可信任并不安装。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/1
auto-ai-web v1.0.0 – 初始发布 - 当 API 不可用时，通过 Web 界面自动激活以使用 Claude AI 生成代码或使用 Gemini 生成图像。 - 管理登录会话，并在需要时提示用户输入凭据。 - 处理 CAPTCHA，并在必要时请求用户协助。 - 安全保存会话凭据，永远不以明文存储密码。 - 将生成的图像保存到指定的下载文件夹，并返回给用户。 - 如果必需服务不可访问，通知用户并提供替代方案。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install auto-ai-web
镜像加速npx clawhub@latest install auto-ai-web --registry https://cn.clawhub-mirror.com
技能文档
当 API 不可用时，通过 Claude AI 和 Gemini 的 Web 接口自动生成代码和图像。
功能
- 自动激活以使用 Claude AI 生成代码或使用 Gemini 生成图像（当 API 不可用时）
- 管理登录会话，提示用户输入凭据（如果需要）
- 处理 CAPTCHA，必要时请求用户协助
- 安全保存会话凭据，永远不以明文存储密码
- 将生成的图像保存到指定的下载文件夹，并返回给用户
- 如果必需服务不可访问，通知用户并提供替代方案
使用指令
- 安装必要依赖（如 Playwright 或 Selenium）
- 按提示输入凭据（使用一次性账户或 OAuth 令牌）
- 启动技能，根据提示生成代码或图像
注意
- 确保浏览器自动化工具已正确配置
- 定期审查和清除存储的凭据
- 如果服务不可访问，检查网络连接和服务状态
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制