安全扫描
OpenClaw
安全
high confidence该技能的文件、指令和网络活动与其声明的目的(获取SEC XBRL/公司事实)一致;没有请求无关机密或安装任意代码,但脚本包含一个回退选项,禁用SSL验证,这是一个需要注意的中等风险。
评估建议
该技能看起来连贯,实现了它声称的功能:解析CIK并从SEC端点拉取结构化XBRL公司事实。安装或运行前:(1)在安全环境中审查或运行包含的脚本——它向data.sec.gov和www.sec.gov发出网络请求;(2)了解脚本在失败时故意回退到禁用SSL验证——这可能会在您的网络被破坏时使您暴露于中间人攻击中,因此更好地运行它在不可能的TLS拦截的地方或修改代码以删除不安全的回退;(3)该技能没有请求机密,因此安装没有直接的凭证暴露风险;(4)发行人列表是静态的,可能不完整——当准确性重要时,请验证CIK。如果您需要更强的保证,请向发布者请求来源(主页/源)或先在隔离环境中运行代码。...详细分析 ▾
✓ 用途与能力
Name/description promise (SEC XBRL/companyfacts, CIK resolution, extracting revenue/net income/EPS) matches the included SKILL.md, reference issuer list, and the script. The code only targets SEC endpoints (data.sec.gov and www.sec.gov) and local references/issuers.json; there are no unrelated service credentials, binaries, or config paths requested.
ℹ 指令范围
SKILL.md is narrowly scoped to resolving CIKs, fetching companyfacts, and returning normalized financial rows; the provided CLI examples map directly to the included Python script. One notable instruction/note in SKILL.md (and implemented in code) is a deliberate fallback to relaxed SSL handling for endpoint compatibility — this broadens network trust and can expose the agent to MITM if an attacker can intercept traffic. The script otherwise does not read unrelated files or environment variables.
✓ 安装机制
There is no install spec; this is an instruction-only skill with an included Python script and a local JSON reference file. Nothing is downloaded or written at install time. Execution requires Python3 at runtime, which is expected for this skill type.
✓ 凭证需求
The skill declares no required environment variables, no primary credential, and no config paths. The script does not attempt to read environment secrets. Network access to SEC endpoints is necessary and proportional to the described functionality.
✓ 持久化与权限
Skill is not always-on and is user-invocable; it does not request permanent presence, modify other skills, or access other skills' credentials. Autonomous invocation is allowed (platform default) and is appropriate for a data-retrieval skill.
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/3/22
初始公开发布,经过范围重构、结构清理和包验证。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install sec-finance
镜像加速npx clawhub@latest install sec-finance --registry https://cn.clawhub-mirror.com
技能文档
使用此技能获取 结构化SEC数据,而不是IR文档下载。
作用域
- 解析公司名称/别名/股票代码到CIK
- 获取SEC XBRL公司事实
- 提取关键指标(收入、净利润、EPS等)
- 规范年度/季度期间
不使用此技能的场景
- 从IR网站下载年度报告PDF
- Cloudflare/IR网站文档获取
- 通用PDF发现工作流
ir-pdf-downloader 代替。
核心命令
# 解析公司并获取最近的财务数据
python3 scripts/sec_finance.py --search JD.com
# 通过已知CIK查询
python3 scripts/sec_finance.py --cik 0001549802 --period quarterly
# 为下游处理输出JSON
python3 scripts/sec_finance.py --search Alibaba --period annual --output json
工作流
- 如果用户需要收入/利润/EPS/结构化文件,请使用此技能。
- 首先通过共享发行人数据解析CIK;如果需要,回退到SEC查找。
- 从
data.sec.gov拉取companyfacts。 - 以表格或JSON形式返回结构化结果。
- 如果用户实际上需要原始PDF文档,请停止并切换到
ir-pdf-downloader。
注释
- 发行人别名和验证CIK提示存活在
references/issuers.json中。 - 默认优先使用安全HTTPS;仅在端点兼容性方面回退到放松SSL处理。
- 保持此技能专注于 SEC数据检索和规范化。
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制