安全扫描
OpenClaw
可疑
medium confidence该技能的指令和指导与其声明的目的（多云文件操作）相符，但它引用了许多敏感凭证、配置文件和令牌存储实践，而没有声明所需的环境变量或来源——这种不匹配和缺乏作者/来源信息值得谨慎对待。
评估建议
该技能在功能上对多云文件操作是连贯的，但在提供凭证之前应谨慎。关键点：（1）技能文本明确使用和建议存储高度敏感的秘密，但注册表条目没有声明所需的环境变量或来源——请作者说明如何提供和存储凭证。（2）更倾向于使用最小权限服务账户/应用程序特定密钥和短期或实例角色凭证，而不是长期根密钥。（3）确认刷新令牌或存储的凭证将被保留在哪里以及谁/什么可以访问它们。（4）由于这是指令-only（无安装），技能本身不会编写任何代码，但如果允许代理自主运行，它可以使用您提供的任何凭证调用提供商 API——如果您不舒服，请限制自主调用。（5）如果需要更高的保证，请请求技能的源/主页或签名来源，或者在仅有短暂凭证和启用审计日志的受限环境中运行代理。...详细分析 ▾
ℹ 用途与能力
名称/描述与内容匹配：S3、GCS、Azure、Backblaze、R2、Drive/Dropbox/OneDrive 的授权、成本和提供商模式都已涵盖。包含消费者提供商（Google Drive、Dropbox、OneDrive）是合理的。提到iCloud 正确指出没有公共文件 API。总体能力与目的一致。
⚠ 指令范围
运行时指令（auth.md、providers.md）明确引用读取和设置环境变量（AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、GOOGLE_APPLICATION_CREDENTIALS、AZURE_CLIENT_SECRET 等）、本地凭证文件（~/.aws/credentials、/path/to/key.json）、CLI 登录（gcloud、az、aws 隐式元数据）以及存储刷新令牌。技能清单没有列出所需的环境变量或配置路径——因此，SKILL.md 访问敏感凭证/配置而没有声明它们。指令不将数据指向超出云提供商的意外外部端点，但它们确实指示了影响敏感数据处理和持久性决策的行为（存储刷新令牌）。
✓ 安装机制
仅指令的技能，无安装规格和代码文件。降低了来自任意代码下载或安装工件的风险。
ℹ 凭证需求
引用的凭证和秘密直接与云存储管理相关（AWS 密钥、GCP 服务账户 JSON、Azure 服务主体、OAuth 刷新令牌）。这与声明的目的成比例。然而：（1）讨论了很多不同类型的凭证（广泛的表面积），（2）技能没有在其注册表元数据中声明或要求任何环境变量或主凭证，（3）指令提到存储刷新令牌而没有描述安全存储——这些是用户应控制的敏感选择。
✓ 持久化与权限
always:false 和无安装步骤意味着技能不请求强制持久性。作为仅指令的技能，它仅在调用时（或允许代理调用它时）才会作用。没有证据表明它尝试修改其他技能或系统范围的代理设置。
安装前注意事项
- 请作者说明如何提供和存储凭证，因为技能文本明确使用和建议存储高度敏感的秘密，但注册表条目没有声明所需的环境变量或来源。
- 更倾向于使用最小权限服务账户/应用程序特定密钥和短期或实例角色凭证，而不是长期根密钥。
- 确认刷新令牌或存储的凭证将被保留在哪里以及谁/什么可以访问它们。
- 由于这是指令-only（无安装），技能本身不会编写任何代码，但如果允许代理自主运行，它可以使用您提供的任何凭证调用提供商 API——如果您不舒服，请限制自主调用。
- 如果需要更高的保证，请请求技能的源/主页或签名来源，或者在仅有短暂凭证和启用审计日志的受限环境中运行代理。
安全有层次，运行前请审查代码。
运行时依赖
🖥️ OSLinux · macOS · Windows
版本
latestv1.0.12026/2/18
● 无害
安装命令 点击复制
官方npx clawhub@latest install cloud-storage
镜像加速npx clawhub@latest install cloud-storage --registry https://cn.clawhub-mirror.com
技能文档
当使用 Cloud Storage 技能时
用户需要跨云存储提供商上传、下载、同步或管理文件。代理处理多提供商操作并提供成本意识。
快速参考
| 主题 | 文件 |
|---|---|
| 提供商特定模式 | providers.md |
| 身份验证设置 | auth.md |
| 成本计算 | costs.md |
作用域
该技能涵盖跨提供商的云存储操作任务：- S3、GCS、Azure Blob、Backblaze B2、Cloudflare R2
- Google Drive、Dropbox、OneDrive、iCloud
对于存储架构决策，请参阅 storage 技能。对于 S3 特定深度模式，请参阅 s3 技能。
关键规则
- 验证操作完成 — API 200 ≠ 成功；检查文件存在性、大小/校验和
- 在大规模传输前计算所有成本 — 出站费用往往超过存储成本；检查
costs.md - 永远不要在备份验证前删除 — 确认备份存在且可恢复，然后再删除源
- 处理部分失败 — 长操作可能中途失败；实现检查点和恢复逻辑
- 速率限制变化很大 — Google 750GB/天上传，Dropbox 批量限制，S3 3500 PUT/秒/前缀
身份验证陷阱
- OAuth 令牌过期 — 长操作前刷新，而不是在操作期间
- 服务账户 ≠ 用户账户 — 不同的配额、权限、审计日志
- 错误区域/端点 — S3 存储桶在
eu-west-1中不会与s3.amazonaws.com工作 - 需要 MFA — 一些操作需要会话令牌，计划交互式身份验证
多提供商陷阱
| 概念 | 不同翻译 |
|---|---|
| 共享文件夹 | Drive “共享给我” ≠ Dropbox “团队文件夹” ≠ OneDrive “SharePoint” |
| 文件 ID | Drive 使用 ID；Dropbox 使用路径；S3 使用键 |
| 版本控制 | S3 显式启用；Drive 自动；Dropbox 180 天 |
| 权限 | S3 ACL + 策略；Drive 角色；Dropbox 链接基于 |
在进行任何大规模操作前
- [ ] 计算估计时间（大小 ÷ 带宽）
- [ ] 检查源和目标的速率限制
- [ ] 包括出站费用和 API 调用在成本估计中
- [ ] 定义检查点/恢复策略用于失败
- [ ] 定义验证方法（校验和、计数、点检查)
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制