by 安全扫描
OpenClaw
可疑
medium confidence该技能的功能与说明一致，但推荐的安装方法（从 inference.sh / dist.inference.sh 使用 curl | sh）和未声明的凭证处理引发了实际的安全担忧，安装前应了解。
评估建议
该技能似乎如其所言（通过 inference.sh CLI 实现 Twitter/X 自动化），但安装前请谨慎：1) 不要盲目运行 curl | sh，改为下载安装器、检查脚本、通过 HTTPS 验证 SHA-256 校验和。2) 确认 inference.sh/dist.inference.sh 的合法性。3) 了解 'infsh login' 的作用，包括请求的凭证、存储位置和是否将 Twitter/X 凭证转发给第三方。4) 先使用一次性或受限账号测试，避免违反平台条款导致账号暂停。5) 如需降低风险，优先使用受信任注册表上的供应商分发包或从源构建并验证签名；请求技能作者提供明确的安装规范或审查后的包链接。如果需要帮助分析安装脚本或 CLI 的身份验证流程，请提供脚本或相关文档，我可以进行审查。...详细分析 ▾
✓ 用途与能力
名称、描述和运行时指令一致：SKILL.md 一致地描述了使用 inference.sh CLI 发布、点赞、转发、发送 DM、关注和查询 X/Twitter。操作和示例命令与声明的目的相符。清单中未请求无关服务或凭证。
ℹ 指令范围
指令在社交自动化范围内（安装 CLI，运行 infsh app run <app> 以 JSON 输入）。它们指示 'infsh login'，这意味着通过 CLI 创建/存储身份验证令牌，但它们不指示读取任意本地文件或泄露数据。然而，SKILL.md 也引用了其他平台应用（图像/视频生成），这些可能需要自己的凭证或外部上传；如果您遵循这些工作流程，攻击面将会增加。
⚠ 安装机制
注册表中没有安装规范；相反，SKILL.md 建议管道远程安装脚本（curl -fsSL https://cli.inference.sh | sh），该脚本从 dist.inference.sh 下载二进制文件。这是一个高风险的安装模式：它从第三方域而非知名包主机拉取和运行代码。文档声称 SHA-256 校验和可用，但验证是手动的，依赖于用户信任分发站点和 TLS 链。 这是主要的安全担忧。
ℹ 凭证需求
注册表中未声明所需环境变量或主凭证，但运行时需要 'infsh login'（即，CLI 将获取和存储身份验证令牌）。对于社交媒体自动化工具这是合理的，但清单中并未明确说明——因此，您应该验证 CLI 请求的凭证/令牌、存储位置以及是否需要 X/Twitter 的 OAuth/API 密钥或通过 inference.sh 代理它们。
✓ 持久化与权限
该技能未请求 always:true，并且注册表中没有安装规范会强制持久系统存在。CLI 登录将存储令牌/配置在用户的主目录（预期行为），但技能本身未声明系统范围权限或修改其他技能。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.52026/2/6
- 扩展文档，添加了 Twitter/X 上发布、互动和用户管理的详细 CLI 使用示例。- 澄清了可用应用和其使用方法，包括新示例（发布媒体、点赞、转发、DM、关注用户等）。- 添加了自动发布 AI 生成图像和视频的工作流示例。- 提供了安装指南、安全注意事项和相关技能及平台文档链接。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install twitter-automation
镜像加速npx clawhub@latest install twitter-automation --registry https://cn.clawhub-mirror.com
技能文档
通过 inference.sh CLI 实现 Twitter/X 的自动化，包括发布、互动和用户管理。支持发布文本、媒体、点赞、转发等功能。...
注意： 请参阅安全注意事项和最新变更日志。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制