by 安全扫描
OpenClaw
可疑
high confidence技能指令一般与其声明的目的相符（通过电子邮件 OTP 认证钱包），但依赖运行 npx 来获取/执行远程包，且包含模糊的建议，即代理可能访问用户的电子邮件读取 OTP，这些都是需要澄清的显著风险。
评估建议
此技能在使用 'awal' CLI 进行电子邮件 OTP 登录方面是连贯的，但在安装前应考虑两点：1) npx 执行风险：技能运行 'npx awal@latest'，下载并执行 npm 注册表中的代码。如果包或其依赖项被破坏，代码将在您的代理主机上运行。建议使用审查的、固定的 CLI 二进制文件或来自可信发布者的固定包版本。2) OTP/电子邮件访问模糊性：SKILL.md 建议代理可以访问用户的电子邮件读取 OTP。除非您明确信任并允许代理读取邮箱，否则应要求人类手动输入 OTP。不要提供邮箱凭据或自动电子邮件访问，除非您理解并接受隐私/数据泄露的影响。实用步骤：- 验证 'awal' 包和其发布者的身份和声誉（或获取官方 CLI 二进制文件），固定到特定版本。- 限制代理自主访问用户的电子邮件，要求人类粘贴 OTP。- 监控和审查 'npx' 运行的输出，如果必须允许，则考虑在隔离环境中运行。如果无法验证 CLI 包或不愿接受 npx 执行风险，请将此技能视为不安全。...详细分析 ▾
✓ 用途与能力
名称/描述与运行时指令一致：SKILL.md 只指示使用 'npx awal' CLI 执行基于 OTP 的登录、检查状态和查看钱包信息。没有不相关的凭据、二进制文件或配置路径被请求。
ℹ 指令范围
指令仅限于运行 'npx awal' 命令（状态、auth登录、auth验证、余额、地址、显示）。然而，文本指出 '如果您有能力访问用户的电子邮件，您可以读取 OTP 代码'，这很模糊，并赋予代理对电子邮件访问的广泛自由（潜在的隐私/数据泄露风险）。SKILL.md 不包含明确的电子邮件访问命令，但建议打开范围蔓延。
⚠ 安装机制
没有安装规范，但运行时明确调用 'npx awal@latest'。npx 将从 npm 注册表中获取和执行代码；执行来自未知作者的未固定 '@latest' 包可以在主机上运行任意代码。即使技能中没有捆绑代码文件，这仍是一个重要的运行时安装/执行风险。
✓ 凭证需求
技能声明没有环境变量、凭据或配置路径。所需访问与声明的任务（基于 OTP 的 CLI 认证）成比例。
✓ 持久化与权限
always：false 和 user-invocable：true。技能不请求全系统的持久特权或修改其他技能。允许自主调用（disable-model-invocation：false），这是平台默认值；在决定是否允许自主运行时，将其与 npx 执行风险结合考虑。
安装前注意事项
- npx 执行风险：技能运行 'npx awal@latest'，下载并执行 npm 注册表中的代码。如果包或其依赖项被破坏，代码将在您的代理主机上运行。建议使用审查的、固定的 CLI 二进制文件或来自可信发布者的固定包版本。
- OTP/电子邮件访问模糊性：SKILL.md 建议代理可以访问用户的电子邮件读取 OTP。除非您明确信任并允许代理读取邮箱，否则应要求人类手动输入 OTP。不要提供邮箱凭据或自动电子邮件访问，除非您理解并接受隐私/数据泄露的影响。实用步骤：- 验证 'awal' 包和其发布者的身份和声誉（或获取官方 CLI 二进制文件），固定到特定版本。- 限制代理自主访问用户的电子邮件，要求人类粘贴 OTP。- 监控和审查 'npx' 运行的输出，如果必须允许，则考虑在隔离环境中运行。如果无法验证 CLI 包或不愿接受 npx 执行风险，请将此技能视为不安全。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/2/12
Authenticate Wallet 技能的初始发布。允许用户通过基于电子邮件的 OTP 认证流程登录或连接到他们的钱包。引入 CLI 支持用于检查状态、初始化登录、验证 OTP 代码、访问余额和地址。包含所有认证步骤的详细使用说明和示例。支持所有命令的 JSON 输出。
● 无害
安装命令 点击复制
官方npx clawhub@latest install authenticate-wallet
镜像加速npx clawhub@latest install authenticate-wallet --registry https://cn.clawhub-mirror.com
技能文档
当钱包未登录（通过 npx awal status 检测或当钱包操作因认证失败）时，使用 npx awal CLI 进行认证。如果您有访问电子邮件的能力，您可以自己认证钱包，否则您需要要求人类提供电子邮件地址并告诉您收到的 OTP 代码。
认证流程
认证使用两步电子邮件 OTP 过程：步骤 1：初始化登录
npx awal@latest auth login
flowId。
步骤 2：验证 OTP
npx awal@latest auth verify
flowId 和用户电子邮件中的 6 位代码完成认证。如果您有能力访问用户的电子邮件，您可以读取 OTP 代码，或者您可以要求人类提供代码。
检查认证状态
npx awal@latest status
示例会话
# 检查当前状态
npx awal@latest status
# 启动登录（发送 OTP 到电子邮件）
npx awal@latest auth login user@example.com
# 输出：flowId: abc123...
# 之后用户收到代码，验证
npx awal@latest auth verify abc123 123456
# 确认认证
npx awal@latest status
可用 CLI 命令
| 命令 | 目的 | | -------------------------------------------- | -------------------------------------- | |npx awal@latest status | 检查服务器健康状态和认证状态 |
| npx awal@latest auth login | 发送 OTP 代码到电子邮件，返回 flowId |
| npx awal@latest auth verify | 使用 OTP 代码完成认证 |
| npx awal@latest balance | 获取 USDC 钱包余额 |
| npx awal@latest address | 获取钱包地址 |
| npx awal@latest show | 打开钱包伴侣窗口 |
JSON 输出
所有命令支持--json 机器可读输出：
npx awal@latest status --json
npx awal@latest auth login user@example.com --json
npx awal@latest auth verify --json
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制