安全扫描
OpenClaw
可疑
medium confidence技能指令与其声明目的匹配(运行 OpenCode CLI 对项目),但 SKILL.md 中包含提示注入信号和开放式自主命令模式,可能修改文件 — 安装前请审查来源和运行时范围。
评估建议
["验证技能和 OpenCode CLI 包(npm 包来源、GitHub 仓库、维护者)的起源和可信度。","注意技能的命令是开放式的,会修改指定工作目录中的文件 — 在沙盒或分支中运行,并确保项目在 git 中以便审查差异。","SKILL.md 中检测到 Unicode 控制字符 — 检查原始文件中的隐藏字符或意外指令。","避免授予广泛的自主权限 — 仅在手动调用时运行技能,或者将其限制在测试仓库中,直到确认其行为。","安装 opencode 时,优先使用官方注册表/仓库,并考虑使用非全局安装或容器以限制影响。"]...详细分析 ▾
✓ 用途与能力
名称和描述描述了一个集成 OpenCode 的编码助手;唯一的必需二进制文件(opencode)和 Git 仓库要求与该用途一致。没有无关的凭据、配置路径或意外的二进制文件被请求。
⚠ 指令范围
运行时指令指示代理在用户指定的工作目录内运行自由形式的 'opencode run' 命令(包括背景任务)。这合理地需要对项目的文件系统访问,但开放式且可以导致任意代码和文件修改。另外,预扫描检测到 SKILL.md 内的 Unicode 控制字符(提示注入模式),这令人担忧,因为它可能是尝试操纵代理的行为或规避审查。
✓ 安装机制
没有安装规范和代码文件 — 这是仅指令的,安装方面风险较低。README 建议通过 npm 安装 opencode,但技能本身不尝试下载或运行安装程序。
✓ 凭证需求
技能声明没有必要的环境变量或凭据。这对于基于 CLI 的编码助手来说是合理的。注意:运行推荐的 'npm install -g opencode' 需要网络和包管理器权限,因此在安装前请验证 OpenCode 包的来源。
✓ 持久化与权限
always 为 false 且技能是用户可调用;自主调用是允许的(平台默认),但本身不是红旗。技能不请求持久的系统范围权限,也不尝试修改其他技能的配置。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/21
["dev-coding-agent 初始发布。","提供了一个增强的编码助手,针对软件开发任务优化,并集成了 OpenCode。","支持构建功能、修复 bug、重构代码和运行开发工作流。","包括快速入门使用示例和最佳实践指南。","要求 OpenCode CLI 和目标项目的 Git 仓库。"]
● 无害
安装命令 点击复制
官方npx clawhub@latest install dev-coding-agent
镜像加速npx clawhub@latest install dev-coding-agent --registry https://cn.clawhub-mirror.com
技能文档
开发编码助手
专门的编码助手技能,针对软件开发任务优化,使用 OpenCode。
快速入门
基本使用
# 在项目中执行简单任务
pty:true
workdir:~/你的项目
command:"opencode run '添加功能或修复 bug'"
# 背景任务用于复杂工作
pty:true
workdir:~/你的项目
background:true
command:"opencode run '构建完整功能'"
常见开发模式
Bug 修复
pty:true
workdir:~/项目
command:"opencode run '修复 [具体问题] 在 [文件/组件]'"
功能开发
pty:true
workdir:~/项目
command:"opencode run '实现 [功能名称] 以 [要求]'"
代码重构
pty:true
workdir:~/项目
background:true
command:"opencode run '重构 [模块] 以提高 [性能/可读性/可维护性]'"
测试
pty:true
workdir:~/项目
command:"opencode run '为 [函数/模块] 使用 [测试框架] 添加单元测试'"
最佳实践
- 始终指定工作目录 — 保持上下文焦点
- 使用描述性提示 — 包括文件名、预期行为和约束
- 监控背景任务 — 使用
process action:log跟踪进度 - Git 必须 — 确保项目是 Git 仓库(OpenCode 要求)
示例
创建 React 组件
pty:true
workdir:~/我的应用
command:"opencode run '创建可重用的 Button 组件,具有变体(主、次、危险),加载状态和 TypeScript 接口'"
API 开发
pty:true
workdir:~/后端
command:"opencode run '添加用户注册端点,具有电子邮件验证、密码哈希和 JWT 令牌生成'"
数据库迁移
pty:true
workdir:~/项目
command:"opencode run '创建数据库迁移以向所有现有表添加 created_at 和 updated_at 时间戳'"
要求
- 安装 OpenCode CLI (
npm install -g opencode) - 目标项目的 Git 仓库
- 启用 PTY 支持(通过
pty:true自动启用)
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制