by 安全扫描
OpenClaw
可疑
medium confidence该技能的大部分行为与其声明的目的（调用 twitterapi.io）相符，但存在一些值得注意的不一致和脆弱的假设（缺失声明的凭证/二进制文件和硬编码的用户路径），应在信任它之前解决这些问题。
评估建议
["安装或运行该技能前，请注意：","1. 期待它需要一个 twitterapi.io API 密钥（TWITTERAPI_KEY）。技能的元数据没有声明这一点；确认并仅提供您信任的用于此用途的密钥。将密钥存储在一个安全文件中，确保它不对世界可读。","2. 检查 `SKILL.md` 和脚本将源自 `~/.openclaw/secrets/twitterapi.env` — 确保该文件仅包含预期的 `TWITTERAPI_KEY`，无其他内容。","3. 捆绑的脚本假设 `curl` 和 `jq` 可用；验证这些二进制文件是否存在于代理主机上。考虑在脚本或元数据中添加检查。","4. 脚本的默认 `OUTPUT_DIR` 硬编码为 `/home/artex/.openclaw/workspace/research`。将其更改为一个便携式路径（使用 `$HOME/.openclaw/...` 或传递一个显式输出目录），以避免写入其他人的主目录或意外失败。","5. 审查脚本以查找任何其他隐藏端点或修改；首先使用沙盒或一次性 API 密钥运行它，以确认行为和成本。","6. 查看 `SK...详细分析 ▾
⚠ 用途与能力
SKILL.md 和包含的脚本合法地调用 twitterapi.io 端点进行 Twitter/X 研究，这与名称/描述相符。然而，技能元数据没有声明所需的凭证或二进制文件，而指令和脚本依赖于 API 密钥（TWITTERAPI_KEY）和常用工具（curl, jq）。此外，脚本使用硬编码的绝对默认输出目录（/home/artex/.openclaw/...），这与通用研究技能不一致，表明包装不周。
⚠ 指令范围
运行时指令需要源自 `~/.openclaw/secrets/twitterapi.env`（获取 `TWITTERAPI_KEY`），然后仅向 `api.twitterapi.io` 发出请求 — 没有意外的外部端点。这适用于声明的目的。问题：（1）指令和脚本引用特定的秘密路径和硬编码的 `/home/artex` 输出路径（可能导致写入其他用户的目录或意外失败），（2）技能没有声明或验证它期望的外部工具（curl, jq）。
ℹ 安装机制
没有安装规范（仅指令加 shell 脚本），这降低了安装时的风险。然而，交付的脚本预计会使用 `curl`、`jq`、`mkdir`、`head`、`date`，并将写入文件到磁盘；包中没有声明这些要求。没有下载或存档提取。
⚠ 凭证需求
技能需要一个 `TWITTERAPI_KEY`（并指示将其存储在 `~/.openclaw/secrets/twitterapi.env`），但注册元数据列出了没有所需的环境变量或主凭证。这一不匹配是一个红旗：技能将访问未向平台声明的秘密。没有其他无关的凭证请求，因此敏感性仅限于该单个 API 密钥，但应明确声明。
✓ 持久化与权限
技能不请求永久 `always:true`，不修改其他技能或全局代理设置，只写入报告到磁盘。允许自主调用（平台默认），但不与其他高权限结合，因此没有升级的持久性问题。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/10
**主要更新：从自定义 Agentic 研究 CLI 迁移到使用 twitterapi.io 的简单 API 驱动工作流。**
● 无害
安装命令 点击复制
官方npx clawhub@latest install x-research-skill
镜像加速npx clawhub@latest install x-research-skill --registry https://cn.clawhub-mirror.com
技能文档
（由于原始内容中未提供 SKILL.md 具体内容，此处无法翻译。若提供 SKILL.md 内容，可根据要求进行翻译。）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制