by 安全扫描
OpenClaw
可疑
high confidence该技能的代码与其声明的目的（本地 OpenClaw 健康/安全检查）相符，但其注册元数据省略了重要的运行时要求和文件访问 —— 在生产环境中运行之前，您应该了解这一不匹配。
评估建议
此技能似乎实现了本地 OpenClaw 健康/安全审计，不会联系外部端点，但在运行之前有两个实际问题：1) 元数据省略：包注册元数据没有列出所需的二进制文件或配置路径，但脚本预期系统命令（openclaw、lsof、tail）并读取 ~/.openclaw/openclaw.json 和 /tmp/openclaw/<date>.log。确认这些命令存在并准备好脚本读取这些文件。2) 敏感本地读取：脚本将命令输出和文件内容收集到一个 JSON '证据' 对象中，可能包含配置值或日志行（可能包括秘密或个人可识别信息）。在安全/测试账户或沙盒（或使用临时 HOME）中运行脚本之前先审查脚本。实用步骤：- 检查脚本本身以验证将读取和输出什么。- 在沙盒化的临时目录中运行包含的测试。- 备份配置文件或以安全测试目录作为 HOME 运行脚本。- 如果计划安装用于重复使用，请要求维护者更新元数据以声明所需的二进制文件和配置/日志路径。...详细分析 ▾
⚠ 用途与能力
脚本的操作（运行 `openclaw status`、使用 lsof 检查监听器、读取 ~/.openclaw/openclaw.json、跟踪 /tmp/openclaw/... 日志）与本地 OpenClaw 健康/安全检查一致。然而，注册元数据声明了没有所需的二进制文件或配置路径，而脚本明显依赖于系统命令（openclaw、lsof、tail）和特定的配置/日志路径。该元数据省略是一个可能导致惊讶或误用的不一致。
ℹ 指令范围
SKILL.md 指示代理运行捆绑的 Node 脚本。脚本读取用户文件（主配置文件位于 ~/.openclaw/openclaw.json）、检查 /tmp 日志并运行 shell 命令（lsof、tail、openclaw）。这些操作在宣传的范围内，但它们会将潜在敏感的本地内容（配置值、日志）暴露到脚本的 JSON 输出（证据）中。SKILL.md 没有明确枚举这些确切的文件读取/命令 —— README 和脚本做到了。
✓ 安装机制
这是一个仅有指令的技能，带有捆绑的脚本；没有网络下载/安装步骤。没有获取外部包或远程安装程序。安装的风险较低，但脚本将使用 Node.js 在本地执行。
⚠ 凭证需求
该技能声明了没有所需的环境变量或配置路径，但它访问了用户的 HOME，读取了 ~/.openclaw/openclaw.json，并检查了 /tmp/openclaw 日志。它还预期系统实用程序（openclaw 二进制文件、lsof、tail）。不请求凭据是合适的，但元数据应该声明配置/日志路径和所需的二进制文件，以便用户知道将读取什么和必须存在的命令。
✓ 持久化与权限
该技能不请求始终在线的存在，也不修改其他技能或系统范围的设置。它作为一次性诊断运行并退出（脚本使用 process.exit）。没有证据表明有持久的后台行为或网络数据外泄。
⚠ scripts/healthcheck.mjs:8
检测到 Shell 命令执行 (child_process)。
⚠ tests/test.mjs:30
检测到 Shell 命令执行 (child_process)。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.12026/3/15
版本 0.1.1：添加 README、MIT 许可证、打包文件列表和自动化测试覆盖率用于健康检查技能。
● 无害
安装命令 点击复制
官方npx clawhub@latest install openclaw-healthcheck
镜像加速npx clawhub@latest install openclaw-healthcheck --registry https://cn.clawhub-mirror.com
技能文档
运行 OpenClaw 部署的轻量级运营和安全审查。
本技能检查的内容
- 网关可达性和进程状态
- 暴露的监听器/可疑开放端口
- 运行的 OpenClaw 配置中的风险配置模式
- 浏览器会话/中继面提示
- 操作员值得关注的最近日志错误
- 更新/运行时卫生信号
使用场景
使用此技能当用户询问：- "运行 OpenClaw 健康检查"
- "审计我的 OpenClaw 安全性"
- "这个 OpenClaw 部署是否安全"
- "检查我的 OpenClaw 服务器暴露"
- "在生产之前审查我的 OpenClaw 设置"
- "为什么我的 OpenClaw 运行时感觉不健康"
工作流
- 确认目标机器/工作空间。
- 运行捆绑的健康检查脚本。
- 审查评分、发现和建议。
- 如果发现高风险，修复后再进行更广泛的部署。
命令
node {baseDir}/scripts/healthcheck.mjs
输出格式
脚本返回 JSON，包含：- 评分
- 判决
- 发现
- 建议
- 证据
判决
PASS— 未检测到重大运营或安全问题（轻量级检查）WARN— 可用但风险或不完整FAIL— 检测到高风险暴露或破损运行时
重要限制
- 这是一个轻量级操作员检查，而不是完整的渗透测试。
PASS结果不保证安全性。- 对互联网暴露的系统仍需要人工审查。
参考
{baseDir}/references/checklist.md
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制