by 安全扫描
OpenClaw
可疑
medium confidence该技能的代码和文档合法实现了腾讯 COS 管理，但包元数据未声明所需的凭据，并有一些安装/配置指令需要谨慎对待。
评估建议
该技能似乎实现了腾讯 COS 管理代码，预计在 .env 中有 TENCENT_SECRET_ID 和 TENCENT_SECRET_KEY，但注册表元数据未声明这些所需的环境变量 —— 将其视为红旗。安装前：1) 验证技能源和作者（主页/源未知）。2) 创建腾讯子用户，仅限特定桶和操作的最小权限。3) 自行检查代码（已包含）或在隔离环境中运行。4) 避免在生产机上使用 --break-system-packages 运行 pip；考虑使用 virtualenv。5) 安全存储 .env 秘密并在决定删除技能时旋转密钥。如果需要更高的保证，请要求发布者更新注册表元数据，声明所需的环境变量并更正任何不正确的操作字符串（例如，'name/cos:*'）以使权限请求明确和最小化。...详细分析 ▾
ℹ 用途与能力
名称、描述、SKILL.md 和包含的 Python 代码都与腾讯云 COS 管理工具一致（桶和对象操作、生命周期、成本估算）。然而，注册表元数据声称 'Required env vars: none' 和 'Primary credential: none'，而代码读取 TENCENT_SECRET_ID 和 TENCENT_SECRET_KEY — 这种不匹配是意外的。
✓ 指令范围
SKILL.md 和代码将操作限制为 COS 操作和本地配置处理：安装 COS SDK、将凭据放在 .env 中、创建/删除桶、上传/下载对象、生命周期规则和成本估算。文档引用运行 tccli/验证命令和 ping COS 端点用于故障排除；这些与云存储工具和代码一致。没有指令读取无关的系统文件或向未知第三方端点传输数据。
ℹ 安装机制
注册表中没有正式的安装规格（仅指令安装）。SKILL.md 告诉用户使用 pip 安装 cos-python-sdk-v5 和 python-dotenv（通过 --break-system-packages）。从 PyPI 安装运行时包是正常的，但显式的 --break-system-packages 标志可以改变系统包边界，应谨慎使用。
⚠ 凭证需求
代码需要腾讯 API 凭据（TENCENT_SECRET_ID / TENCENT_SECRET_KEY）和区域/配置环境变量，这些对于声明的目的是合适的 — 但注册表元数据未声明它们为所需。SKILL.md 建议授予广泛的 COS 权限（显示的操作模式为 'name/cos:*'，似乎不正确/过宽）。请求全面的 COS 权限与管理员操作成比例，但用户应偏好具有最小权限的狭窄范围的子用户密钥。元数据省略（无声明所需的环境变量）是主要关注点。
✓ 持久化与权限
该技能不是强制始终运行，也不请求任何代理范围的持久权限。它不修改提供的文件中的其他技能的配置。默认允许自主调用；这是正常的，但如果凭据被泄露，会增加影响范围，因此应适当范围化凭据。
安装前注意事项
- 验证技能源和作者（主页/源未知）。
- 创建腾讯子用户，仅限特定桶和操作的最小权限。
- 自行检查代码（已包含）或在隔离环境中运行。
- 避免在生产机上使用 --break-system-packages 运行 pip；考虑使用 virtualenv。
- 安全存储 .env 秘密并在决定删除技能时旋转密钥。如果需要更高的保证，请要求发布者更新注册表元数据，声明所需的环境变量并更正任何不正确的操作字符串（例如，'name/cos:*'）以使权限请求明确和最小化。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.1.02026/3/29
恢复中文内容，仅技能名称使用英文
● 无害
安装命令 点击复制
官方npx clawhub@latest install tencentcloud-cos-storage
镜像加速npx clawhub@latest install tencentcloud-cos-storage --registry https://cn.clawhub-mirror.com
技能文档
SKILL.md 中文翻译（由于原始内容未提供，以下为示例，实际应替换为真实的 SKILL.md 中文翻译）
# 腾讯云 COS 存储管理技能
简介
管理腾讯云 COS 存储桶和文件，支持桶创建、文件上传/下载、生命周期策略、访问控制和成本优化。安装
pip install cos-python-sdk-v5 python-dotenv
使用
- 创建 .env 文件，添加 TENCENT_SECRET_ID 和 TENCENT_SECRET_KEY。
- 运行脚本进行桶操作和文件管理。
注意： 请确保替换为实际的 SKILL.md 中文翻译内容，包括所有必要的 Markdown 格式、代码块和命令行指令。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制