by 安全扫描
OpenClaw
可疑
medium confidence该技能文档声称提供完整的可视化工作流系统和多个集成，但运行指令引用了未提供或未说明的本地./workflow.sh和依赖项，这一不匹配令人担忧。
评估建议
暂勿直接安装或运行此技能。请作者提供：(1)源代码仓库或主页和可验证的发布构件，(2)./workflow.sh的安装脚本或打包二进制文件，(3)明确的环境变量/凭据列表及其存储位置，(4)工作流将联系的确切网络端点。如果必须评估，请在运行前检查代码，在隔离/测试环境（空气隔离或容器）中运行，并在确认实现前避免提供真实生产凭据。如果作者提供公共仓库和明确的安装说明，解释workflow.sh的来源和所需凭据，重新评估可能将其转向良性。...详细分析 ▾
⚠ 用途与能力
描述承诺一个可视化、无代码的工作流构建工具，支持100+集成（AWS Lambda、电子邮件/短信、数据库操作、Slack/Discord）。然而，包中没有代码、安装程序，也没有集成凭据。SKILL.md仅显示调用缺失的./workflow.sh的CLI示例。没有提供代码或声明凭据却请求广泛的功能是不成比例和不合理的。
⚠ 指令范围
运行指令告诉代理或用户运行./workflow.sh create/add-trigger/run，并描述了触发器（文件变化、数据库变化）和暗示文件系统、网络和凭据访问的操作。SKILL.md 对脚本的来源、凭据的提供方式以及可能传输的数据含糊不清——赋予代理广泛的、未指定的自由裁量权。这种模糊性增加了风险。
⚠ 安装机制
通常风险较低，因为没有安装规格和代码文件，但指令假设有本地可执行文件和Node.js 18+。缺乏任何安装指令或workflow.sh的来源是一个危险信号：技能期望运行时的工件不存在，造成了关于将安装或执行什么的不确定性。
⚠ 凭证需求
技能声称支持通常需要API密钥、令牌或连接字符串的集成（AWS Lambda、数据库、电子邮件/短信、Slack），但在元数据中不需要环境变量或凭据。这种不匹配表明要么缺少声明，要么期望通过未指定的方式（提示、配置文件或环境）提供凭据，这是不成比例的且风险高。
✓ 持久化与权限
技能不请求持久权限（始终：false）并未声明修改其他技能或系统范围设置。默认启用自主模型调用这是正常的——这本身不是一个新问题。
安装前注意事项
- 请作者提供源代码仓库或主页和可验证的发布构件。
- 请提供./workflow.sh的安装脚本或打包二进制文件。
- 请提供明确的环境变量/凭据列表及其存储位置。
- 请提供工作流将联系的确切网络端点。如果必须评估，请在运行前检查代码，在隔离/测试环境中运行，并在确认实现前避免提供真实生产凭据。如果作者提供公共仓库和明确的安装说明，解释workflow.sh的来源和所需凭据，重新评估可能将其转向良性。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/5
- 自动工作流构建工具初始发布。 - 具有拖拽界面的可视化工作流构建工具。 - 支持包括API、Webhook和定时事件在内的100+集成。 - 包括定时、Webhook、HTTP、数据库、文件变化等触发器和HTTP请求、电子邮件、短信、数据库、通知、AWS Lambda等多样化操作。 - 特性包括工作流历史、执行日志和调试工具。
● 无害
安装命令 点击复制
官方npx clawhub@latest install auto-workflow-builder
镜像加速npx clawhub@latest install auto-workflow-builder --registry https://cn.clawhub-mirror.com
技能文档
功能描述
通过可视化拖拽界面创建和管理自动化工作流，无需编码。支持100+集成，包括API、Webhook、定时事件、HTTP请求、电子邮件、短信、数据库操作、通知和AWS Lambda等。提供工作流历史、执行日志和调试工具。使用示例
# 示例命令，实际使用请根据提供的脚本和文档调整
./workflow.sh create myworkflow
./workflow.sh add-trigger myworkflow --type http
注意： 由于原始文档中./workflow.sh的来源和安装指令不清晰，以上命令仅为示意。实际使用前请确保获得正确的安装和运行指令。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制