by 安全扫描
OpenClaw
可疑
medium confidence该技能的目的（安装/管理部署 CLI）是合理的，但其运行指令告诉代理（和用户）从远程获取并将未签名脚本管道到 bash —— 一个高风险的安装模式 —— 并且它给予 CLI 权限来引导/管理节点和秘密，而没有声明所需的凭据或信任模型。
评估建议
此技能似乎是一个第三方部署 CLI 的使用指南，但它要求您运行一个使用 'curl | bash' 的远程安装程序，并引导/管理节点和秘密。安装或遵循这些步骤之前：1) 不要盲目运行 'curl | bash' —— 检查脚本 https://www.devopsellence.com/lfg.sh，偏好使用包管理器或带签名的发布版本和校验和，或者向供应商询问验证。2) 了解 CLI 将需要什么凭据以及它们将被存储在哪里；技能元数据没有声明它们。3) 将节点引导命令视为可能在您的机器上创建长期存在的代理或服务 —— 首先在测试 VM 或隔离环境中运行它们。4) 如果您必须继续，请限制权限（使用最低权限账户），备份重要数据，并查看供应商文档和安装程序内容。如果您愿意，我可以以文本形式获取安装程序脚本 URL 并在您运行它之前总结它的作用 —— 但我不会为您执行它。...详细分析 ▾
ℹ 用途与能力
Name and description match the instructions: this is a helper for the devopsellence CLI to init, deploy, inspect status, manage secrets, and assign nodes. That functionality reasonably explains the commands shown. One minor note: the skill does not declare any required credentials despite covering secrets and node bootstrapping; the CLI will likely request credentials at runtime, which is not surfaced in the skill metadata.
⚠ 指令范围
The SKILL.md instructs the agent/user to run devopsellence commands in the user's project directory and to manage secrets and nodes. Most steps are scoped to the deployment task, but the doc also tells the user to run a remote installer via 'curl -fsSL https://www.devopsellence.com/lfg.sh | bash' and to bootstrap/assign nodes — both of which can execute arbitrary code on the host and may change host configuration or run long‑lived agents. The instructions do remind the user to avoid leaking secrets, but they give broad discretion to install and run code from the vendor without guidance to verify the installer.
⚠ 安装机制
There is no formal install spec in the skill metadata; the SKILL.md recommends piping a script from the vendor website directly into bash. Download-and-pipe installs are high risk because they execute remote code with the user's privileges and the skill provides no checksum, release-host justification, or alternative vetted install method.
ℹ 凭证需求
The skill declares no required env vars or credentials. That is not inconsistent by itself, but the actions described (managing secrets and bootstrapping nodes) normally require credentials or elevated access. The lack of declared credentials means the user won't see what will be requested before installing; expect the CLI to prompt for keys/tokens or ask to log in when used.
✓ 持久化与权限
The skill is not flagged as always:true and it doesn't request config paths or to modify other skills. The primary persistence/privilege concern comes from the installer and node-bootstrap steps (they may create services/agents), but that behavior is driven by the devopsellence CLI itself rather than the skill metadata.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/3/30
devopsellence 技能的初始发布。- 提供一步一步的 CLI 工作流程，用于安装、初始化、部署和管理项目以使用 devopsellence。- 包括带有安全指导的秘密管理命令。- 支持自带节点工作流，包括节点引导、分配和取消分配。- 记录了部署故障排除的启发式方法和对敏感数据的安全处理。- 链接到官方文档以供进一步参考。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install devopsellence
镜像加速npx clawhub@latest install devopsellence --registry https://cn.clawhub-mirror.com
技能文档
简介
安装 devopsellence CLI，初始化项目配置，部署当前应用，检查状态，管理秘密或从 OpenClaw 引入自己的节点。使用步骤
- 安装 devopsellence CLI
- 初始化项目配置
- 部署应用
- 检查部署状态
- 管理秘密或节点
安全注意事项
- 检查脚本来源
- 安全管理凭据
- 在隔离环境中测试节点引导
故障排除和安全处理
- 参考官方文档
- 使用启发式方法进行故障排除
- 安全处理敏感数据
# 原始 YAML frontmatter 保留（不翻译） ...（假设原始内容）...
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制