by 安全扫描
OpenClaw
安全
high confidence技能要求和运行指令与其声明目的一致，使用 mcporter CLI 和 xpoz-setup OAuth 流调用 Xpoz 后端。但应在安装前验证 mcporter npm 包和 xpoz-setup 技能。
评估建议
技能与描述一致，但安装前应：1) 检查 mcporter npm 包（发布者、主页、版本、下载次数）；2) 检查 xpoz-setup 技能（OAuth 处理和存储访问令牌）；3) 确认网络端点（mcp.xpoz.ai）为官方 Xpoz 服务并审查其隐私/条款；4) 如果担心自主代理操作，限制为用户调用或审查代理策略。如果任何验证不通过或不明确，视为高风险安装。...详细分析 ▾
ℹ 用途与能力
名称/描述（跨 Twitter/Instagram/Reddit 的社交搜索）与运行指令匹配：所有调用通过 mcporter CLI 调用 Xpoz MCP 端点。要求 CLI（mcporter）和 OAuth 设置技能（xpoz-setup）是合理的。小不一致：注册表摘要未列出所需技能或网络，但 SKILL.md 元数据声明依赖于 xpoz-setup 和网络 mcp.xpoz.ai — 功能上一致，但注册表元数据省略是一个文档不匹配。
✓ 指令范围
SKILL.md 只指示代理调用 mcporter CLI 调用特定 xpoz.* 操作、轮询操作状态并使用 CSV 导出大型结果。它不指示读取无关的本地文件、环境变量或向已声明的 mcp.xpoz.ai 之外的未知端点发送数据。设置步骤将 OAuth 委托给 xpoz-setup 技能（浏览器或设备代码流），适合获取令牌。
ℹ 安装机制
安装是 npm 包（mcporter），创建 mcporter 二进制文件。npm 安装很常见，但在主机上执行第三方代码 — 这是中等风险（不是任意 URL 下载）。建议在安装前验证 mcporter 包的来源（发布者、npm 页面、校验和）。
✓ 凭证需求
技能本身不请求环境变量或本地配置路径。身份验证委托给 xpoz-setup 技能通过 OAuth 2.1（对于 SaaS 集成是预期的）。这里没有未解释的凭证请求。
✓ 持久化与权限
技能不是始终启用，不请求提升或系统范围的配置更改。它依赖于外部 CLI 和身份验证设置技能；默认允许自主调用，但不与其他红旗合并。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.5.02026/2/12
SKILL.md 已修剪至约 115 行
● 无害
安装命令 点击复制
官方npx clawhub@latest install xpoz-social-search
镜像加速npx clawhub@latest install xpoz-social-search --registry https://cn.clawhub-mirror.com
技能文档
跨平台社交媒体搜索：1.5 亿+ 帖子跨 Twitter、Instagram、Reddit。 搜索帖子、找到人、发现对话。基于 Xpoz MCP 构建。
设置
运行xpoz-setup 技能。验证：mcporter call xpoz.checkAccessKeyStatus
...（以下内容与原文相同，仅示例，实际应完全翻译 SKILL.md 中的中文部分，但由于长度限制，这里不再全部列出）数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制