by 安全扫描
OpenClaw
可疑
medium confidence代码和运行指令主要匹配新闻摘要网服务，但注册元数据、安装/凭证声明和 LLM/调用预期不一致或不完整 — 安装或运行前请审查。
评估建议
["安装/运行 ClawFeed 之前检查事项：","- 元数据 vs 代码：注册表声称为'指令仅'技能，无环境变量，但仓库包含可运行的 Node 服务器和 DB 迁移。将其视为一个将在本地启动的小型 Web 应用（不仅仅是一个提示文件）。","- 所需密钥：SKILL.md 期望 GOOGLE_CLIENT_ID/GOOGLE_CLIENT_SECRET、SESSION_SECRET 和 API_KEY 用于写入端点。除非信任来源，否则不要提供这些凭证。注册表省略了这些 — 请问发布者原因。","- LLM / 外部 API 模糊性：文档描述了 AI 摘要，但没有列出使用的 LLM 提供商或 API 密钥（OpenAI、Anthropic、自托管）。检查 src/server.mjs 和执行摘要的代码路径，以确定应用程序是否进行出站调用以及在运行之前调用哪些主机。","- 网络暴露和持久性：npm start 将运行服务器（默认端口 8767）并创建本地 SQLite DB。若不希望它可从网络访问，请在隔离环境（容器、VM）中运行并仅绑定到 localhost。","- 本地构建：b...详细分析 ▾
⚠ 用途与能力
名称/描述和 SKILL.md 描述了一个从 Twitter/RSS 生成摘要的 Web 服务（如预期）。然而，注册表元数据声称为'指令仅'，无所需环境变量，而捆绑的仓库包含一个完整的 Node API 服务器（src/server.mjs, src/db.mjs）和运行时指令，需要 npm install 和环境配置。这种不匹配（注册表说'无环境变量 / 指令仅' vs. 仓库包含可运行的服务器代码和环境变量）是不一致的，值得警惕。
ℹ 指令范围
SKILL.md 指示代理/用户运行 npm install、复制 .env.example、设置 GOOGLE_CLIENT_ID/GOOGLE_CLIENT_SECRET/SESSION_SECRET/API_KEY 并启动服务器 — 适用于 Web 仪表盘。指令不要求代理读取无关的系统文件。然而，SKILL.md 描述了 AI 摘要（LLM 使用），但未声明 LLM API 密钥或提供商环境变量；不清楚如何执行摘要（本地模型 vs 外部 API）。这种模糊性增加了风险，因为运行服务可能会导致意外的出站 LLM/API 调用。
⚠ 安装机制
注册表列出无安装规范（指令仅），但包包含一个完整的 Node 应用并预期 'npm install'（本地插件 better-sqlite3）。没有远程下载任意存档，这是好的，但注册表中缺乏安装规范（尽管代码很大）是不一致的，这意味着代理/平台可能不知道，如果用户按照 SKILL.md 进行操作，这个技能将编译本地模块并生成一个网络服务器。
⚠ 凭证需求
SKILL.md 列出多个秘密（GOOGLE_CLIENT_ID/SECRET、SESSION_SECRET、API_KEY、AI_DIGEST_DB 路径、ALLOWED_ORIGINS）。注册表元数据显示 '所需环境变量：无' 和 '主要凭证：无' — 明显不匹配。声明的环境变量对于应用程序是合理的，但注册表的省略可能会误导用户或自动安装程序关于将请求哪些秘密。此外，指令没有声明任何 LLM/第三方 API 密钥，尽管描述了一个 AI 摘要管道，这是一个需要澄清的重要省略。
ℹ 持久化与权限
技能不请求 always:true 且是用户可调用（正常）。按照指令运行技能将启动一个持久服务器（npm start）并创建/修改一个本地 SQLite DB（默认 data/digest.db）。这种持久性对于 Web 服务是预期的，但用户应该意识到，如果安装和启动，技能将打开网络端口并写入本地数据。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/3/5
ClawFeed 新闻摘要工具的初始发布。- 从 Twitter 和 RSS feeds 生成结构化新闻摘要（4 小时、日、周、月）。- API 服务器支持查看摘要、收藏、feeds 和用户认证（Google OAuth）。- 默认以只读模式运行；认证后启用个人功能，如收藏。- 使用 SQLite（捆绑，无需外部 DB）。- 包括 Web 仪表盘和可自定义的模板用于策展和摘要。- 提供简单的环境配置和反向代理设置说明。
● 无害
安装命令 点击复制
官方npx clawhub@latest install clawfeed-3
镜像加速npx clawhub@latest install clawfeed-3 --registry https://cn.clawhub-mirror.com
技能文档
介绍
ClawFeed 是一个 AI 工具，能够从 Twitter 和 RSS feeds 生成结构化新闻摘要，支持 4 小时、日、周、月等多种格式。使用指南
- 运行
npm install安装依赖。 - 复制
.env.example为.env，配置所需环境变量（GOOGLE_CLIENT_ID、GOOGLE_CLIENT_SECRET、SESSION_SECRET、API_KEY）。 - 启动服务
npm start。
功能
- 支持 Twitter 和 RSS feeds 的新闻摘要生成。
- 包括 Web 仪表盘和可自定义的模板。
- 支持 Google OAuth 认证，启用个人功能。
- 使用 SQLite 数据库，默认只读模式。
# 代码块（保持不变）
// 示例代码，不翻译
const express = require('express');
const app = express();
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制