by 安全扫描
OpenClaw
可疑
high confidence该技能的指令需要敏感的链上签名（私钥），依赖 npm 包，但未声明包安装和凭据要求，运行指导允许自动链上支付 — 这些不匹配之处值得谨慎对待。
评估建议
["该技能将要求您的代理持有/使用链上私钥，并在 webhooks 到达时自动购买付费内容。","包引用（@x402/* 和 viem）由指令要求但未在安装规范中声明。","安装前，请考虑：","- 不要将主/私人钱包密钥粘贴到代理中。使用具有最小资金的专用热钱包或永远不暴露原始私钥的签名流（硬件钱包、外部签名者或委托签名服务）。","- 请技能作者明确声明所需凭据（环境变量）并提供安装规范（包名和固定版本）。","- 在任何购买之前要求明确的用户确认。","- 添加 webhooks 身份验证检查（HMAC 或签名有效负载），以便您的端点在采取行动之前可以验证事件。","- 如果必须测试，请仅为一个小余额的可抛弃钱包提供资金，并将 max_price_usdc 设置为安全的低值。监视所有出站 RPC 调用和签名者交互。","- 更喜欢从已知注册表使用的已验证包并固定版本；在允许签名操作之前审查安装的代码。","如果作者无法或不愿提供清晰的凭据处理和安装说明以及购买的明确确认钩子，请避免启用此技能的自动使用。"]...详细分析 ▾
⚠ 用途与能力
该技能声称是一个 pay-per-call 加密货币 alpha 市场，合理地需要一个用于支付和网络访问的钱包。然而，注册表元数据没有声明任何所需的凭据或环境变量，并且没有安装规范，尽管 SKILL.md 明确要求 @x402 和 viem 包。声明的目的和要求之间的不匹配是不一致的。
⚠ 指令范围
SKILL.md 指示代理注册 webhooks、接收事件，并且 — 至关重要 — 使用私钥构建帐户并签署支付挑战来执行购买。它还告诉端点立即返回 200 并异步处理。文档没有描述 webhooks 身份验证验证，不声明私钥的来源，并包括可能导致自动链上支付的逻辑，如果代理遵循指令。
⚠ 安装机制
没有安装规范，但指令要求几个 npm 包（'@x402/*' 和 'viem'），并且说它们必须存在于 node_modules 中。缺乏安装步骤或版本化包源是一个不匹配，增加了操作摩擦和风险（开发人员/用户可能会复制未知包或安装任意版本）。
⚠ 凭证需求
运行时需要私钥/钱包签名能力（privateKeyToAccount('0x<your-private-key>'））来进行支付，但技能没有声明任何所需的环境变量或主要凭据。请求私钥是一个高特权需求，应该声明和范围；这里它仅在指令中隐含，这是不成比例的和不完整的。
⚠ 持久化与权限
始终为 false，但允许模型调用（默认）。与指令一起，指令在给定 webhooks 事件和私钥时执行自动购买，这使得代理能够自主花费资金。与缺失的凭据声明和缺乏明确的用户确认步骤相结合，这个特权是显著的。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv3.0.02026/2/26
v3：webhook 推送订阅、清晰的代理集成指南、试用 URL 发现、返回买家流程、完整的 webhook 处理器示例
● 可疑
安装命令 点击复制
官方npx clawhub@latest install gated-alpha
镜像加速npx clawhub@latest install gated-alpha --registry https://cn.clawhub-mirror.com
技能文档
（由于原始内容未提供 SKILL.md 全文，此处无法翻译，请根据实际 SKILL.md 内容进行翻译）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制