by 安全扫描
OpenClaw
可疑
high confidence该技能描述和安装指令承诺自动认证下载多个学术平台的内容，但提供的文件和运行时行为不匹配，且要求未声明的凭据，这一不匹配令人担忧，需要谨慎对待。
评估建议
该包不一致且不完整。它承诺自动认证下载，并列出多个辅助脚本，但仅包含一个主要用于查找 DOI 和打印手动指令的 Python 脚本。**请勿为此技能导出或存储图书馆用户名/密码，直到您验证缺失文件并确认凭据使用位置**。具体红旗：1) SKILL.md 要求安装 Playwright 和浏览器，但代码执行 Node Playwright 脚本——Node/NPM 要求未记录；2) 引用的文件（scripts/auth.py、scripts/doi_extractor.py、references/config.json）缺失；3) 代码生成临时 JS 文件并使用 node 运行（子进程），如果 JS 内容或调用被修改，将执行任意代码。在安装或运行前：向作者请求缺失的脚本或规范仓库，审查完整实现以确认凭据的使用和存储，避免系统范围导出凭据（使用每命令提示或安全密钥存储），并偏好来自可验证来源的工具。如果需要自动化机构下载，请考虑使用经过审查、活跃维护的工具，具有透明的代码和明确的凭据处理。...详细分析 ▾
⚠ 用途与能力
SKILL.md 声称完全自动化、自动身份验证、平台特定处理程序（auth.py、doi_extractor.py、references/config.json）以及对多个提供商的批量下载。捆绑包仅包含一个 scripts/download.py，大部分执行 DOI 查找（通过 Crossref）、打印建议来源并返回 'requires_manual_download'。几个声明的文件（scripts/auth.py、scripts/doi_extractor.py、references/config.json）被引用但不存在。代码仅进行最小的平台处理（简单 URL 模式匹配）并未实现核心宣传功能（自动认证下载）。
⚠ 指令范围
SKILL.md 指示用户导出图书馆凭据（ANNE_LIBRARY_URL、ANNE_LIBRARY_USER、ANNE_LIBRARY_PASS）并安装 Playwright 和浏览器。提供的 Python 脚本不读取这些环境变量，也不实现身份验证；相反，它写入临时 JavaScript Playwright 脚本并调用 'node' 运行它。指令要求凭据并暗示自动登录，但提供的代码既不消费这些凭据，也不执行承诺的身份验证流——这是范围蔓延和未解释的秘密请求。
⚠ 安装机制
包中没有正式的安装规范。SKILL.md 告诉用户运行 'pip install playwright requests beautifulsoup4' 和 'playwright install chromium'，但 Python 代码生成并通过 subprocess.run(['node', temp_path]) 执行 Node.js Playwright 脚本。claw.json仅列出 Python 依赖项；没有提及 Node 或 npm 依赖项。这种不匹配（Python 安装指令 vs. Node 运行时使用）是不一致的，可能导致用户安装错误的运行时或运行意外的二进制文件。编写和执行一个由 node 运行的临时 JS 文件，如果没有明确的来源，可能是一个潜在的风险执行模式。
⚠ 凭证需求
SKILL.md 要求图书馆凭据（用户名/密码、图书馆 URL），但技能元数据未声明任何必需的环境变量。存在的唯一代码不读取这些环境变量，因此要求用户导出秘密没有由提供的实现正当化。如果代码实际使用这些凭据，请求机构凭据将是合理的，但这里请求是未声明的且未使用的——这增加了如果用户遵循指令，可能会不必要地暴露凭据的风险。
✓ 持久化与权限
该技能不请求提升持久性：始终为 false，它是用户可调用，并且没有证据表明它修改其他技能或系统配置。没有安装规范写入文件永久保存超出任何用户运行的安装（这些安装在包外）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/26
Anne’s Library Downloader 初始版本发布：- 自动从主要学术图书馆下载书籍、文章和 DOI。- 支持机构访问的身份验证。- 处理包括 VitalSource、ProQuest、EBSCO、JSTOR 等在内的平台。- 从 URL 中提取 DOI 并保留引文元数据。- 支持批量下载和格式转换（PDF、EPUB、文本）。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install anne-library-downloader
镜像加速npx clawhub@latest install anne-library-downloader --registry https://cn.clawhub-mirror.com
技能文档
下载学术图书馆的书籍、文章和 DOI，实现全自动化。
该技能的功能
- 从图书馆数据库下载 PDF
- 从 URL 中提取 DOI
- 自动实现机构访问的身份验证
- 支持 VitalSource、ProQuest、EBSCO 等学术平台
安装
# 安装依赖
pip install playwright requests beautifulsoup4
# 安装 Playwright 浏览器
playwright install chromium
使用
# 通过标题/作者下载书籍
anne-download --book "Essential Biological Psychology" --author "Martin, G. Neil"
# 通过 DOI 下载
anne-download --doi "10.1037/0000092-000"
# 通过 URL 下载
anne-download --url "https://library.capella.edu/..."
# 批量下载从列表
anne-download --list ~/Downloads/my_reading_list.txt
配置
设置图书馆凭据：# 对于 Capella 图书馆
export ANNE_LIBRARY_URL="https://capella.alma.exlibrisgroup.com"
export ANNE_LIBRARY_USER="your_username"
export ANNE_LIBRARY_PASS="your_password"
支持的平台
- VitalSource Bookshelf
- ProQuest
- EBSCOhost
- JSTOR
- PubMed Central
- ScienceDirect
- Springer Link
- Taylor & Francis Online
特性
- 自动身份验证：处理机构登录
- DOI 提取：从任何学术 URL 中提取 DOI
- 元数据保留：保存与 PDF 一起的引文信息
- 批量处理：下载整个阅读列表
- 格式转换：转换为 PDF、EPUB 或文本
文件
scripts/download.py— 主下载脚本scripts/auth.py— 身份验证处理程序scripts/doi_extractor.py— DOI 提取references/config.json— 图书馆配置
技能创建时间：2026 年 3 月 8 日
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制