by 安全扫描
OpenClaw
可疑
high confidence该技能基本符合宣称的功能（代码审查 + 自动修复），但存在一些值得注意的行为：硬编码的计费 API 密钥、网络计费调用、局部用户标识泄露和隐含的运行时假设。安装前请了解这些行为。
评估建议
该技能在功能上是连贯的，但包含硬编码的计费 API 密钥，并会调用外部计费服务，发送用户标识（默认为本地用户名）并创建本地状态文件。安装前，请：（1）审查 `lib/billing.ts`，决定是否信任计费端点和嵌入的密钥，理想情况下替换为自己的密钥或移除自动计费；（2）了解技能会在工作目录创建 `.code-review-fix-state.json`，可能传输您的操作系统用户名，除非设置 `SKILLPAY_USER_ID`；（3）在隔离环境（非 root）运行，并验证网络活动；（4）确保安装了 Bun 或将脚本适配到您的运行时；（5）如果不信任发布者，请不要直接安装或运行该技能。...详细分析 ▾
ℹ 用途与能力
仓库文件（分析器、主文件、计费）与声明的用途匹配（代码审查 + 可选自动修复 + 计费）。然而，计费是通过 `lib/billing.ts` 中的硬编码 `BILLING_API_KEY` 和 `SKILL_ID` 实现的，而不是要求发布者/用户提供凭证，这是异常的，值得质疑。
⚠ 指令范围
SKILL.md 中的运行时指令仅限于代码审查，但 `scripts/main.ts` 读取当前目录中的任意文件，写入本地状态文件（`.code-review-fix-state.json`），并将用户标识（从 `process.env.SKILLPAY_USER_ID` 或本地操作系统用户名派生）发送到外部计费服务。SKILL.md/README 没有明确指出发送本地用户名或创建状态文件。
⚠ 安装机制
没有安装规范（注册表中仅有指令），这降低了安装风险，但 `package.json` 和脚本假设使用 `bun` 运行时（启动/开发脚本使用 `bun`）。注册表元数据声明没有所需的二进制文件，因此关于 `Bun` 的运行时假设是一致性问题，可能会破坏执行。没有使用下载的外部存档。
⚠ 凭证需求
该技能声明没有所需的环境变量，但包含 `lib/billing.ts` 中的硬编码计费 API 密钥（`BILLING_API_KEY`）。在代码中嵌入长期保活的秘密意味着将使用发布者的密钥进行所有计费调用；这不成比例，且风险高。代码还可以选择读取 `process.env.SKILLPAY_USER_ID` 来形成用户 ID，这在元数据中宣布是合理的，但没有声明。
ℹ 持久化与权限
该技能不请求永久的“始终”权限，也不修改其他技能。它会在工作目录创建一个状态文件（`.code-review-fix-state.json`）。由于技能可以由代理（默认）自主调用，结合嵌入的密钥，网络启用的计费调用会增加操作风险，如果没有用户监督就会被调用。
安装前注意事项
- 审查 `lib/billing.ts`，决定是否信任计费端点和嵌入的密钥，理想情况下替换为自己的密钥或移除自动计费。
- 了解技能会在工作目录创建 `.code-review-fix-state.json`，可能传输您的操作系统用户名，除非设置 `SKILLPAY_USER_ID`。
- 在隔离环境（非 root）运行，并验证网络活动。
- 确保安装了 Bun 或将脚本适配到您的运行时。
- 如果不信任发布者，请不要直接安装或运行该技能。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/6
代码审查与修复的初始发布。- 自动审查代码中的 bug、安全和性能问题- 提供自动代码修复和风格检查- 可用教育模式，附带解释- 支持多编程语言- 前三次免费，之后按用量付费
● 可疑
安装命令 点击复制
官方npx clawhub@latest install code-review-fix
镜像加速npx clawhub@latest install code-review-fix --registry https://cn.clawhub-mirror.com
技能文档
自动审查代码问题、提供修复建议、直接修复代码 —— 解决开发者"代码质量"和"bug修复"的高频痛点。
使用方法 / Usage
# 审查当前文件
/code-review
# 审查并自动修复
/code-review --fix
# 只检查安全问题
/code-review --security
# 学习模式（附带解释）
/code-review --explain
功能特性 / Features
- ✅ 代码问题检测（bug、安全、性能）
- ✅ 代码风格检查
- ✅ 自动修复
- ✅ 解释教育模式
- ✅ 多语言支持
定价 / Pricing
- 前3次免费
- 单次调用：0.001 USDT
- 更多套餐见 skillpay.me
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制