安全扫描
OpenClaw
安全
medium confidence指令与声明目的(检查和更新包管理器)一致,但技能将运行系统级包查询,并在获得用户确认后执行可能改变主机状态的更新——用户应在允许更新前审查和确认操作。
评估建议
此技能似乎做了它声称的:查询各种包管理器,并在确认后运行更新命令。安装或运行之前:(1)确认代理仅在获得明确批准后执行更新,并显示将运行的确切命令;(2)了解全局 pip/npm 更新和 brew 升级可能会改变系统状态,可能需要 sudo,并可能破坏环境管理的包(例如系统 Python);(3)cargo/go 更新可能会改变当前工作目录中的项目文件或依赖关系图——考虑从正确的项目文件夹运行它们或先使用 dry-run/测试;(4)要求技能在尝试更新之前报告主机上可用的包管理器;(5)维护备份或快照(或至少记录将要更改的包),以便如果更新引起问题,可以回滚。...详细分析 ▾
✓ 用途与能力
名称/描述(检查、总结、跨 npm、pip、brew、cargo、go 更新包)与运行时指令一致,指令列出了检查和更新每个包管理器的确切命令。一个小的疏漏:技能没有声明所需的二进制文件(npm、pip、brew、cargo、go),尽管指令依赖于它们;这是一个运营疏漏,但不是不一致的证据。
ℹ 指令范围
SKILL.md 只告诉代理运行包管理器命令(过期检查和更新命令)。这保持在声明的目的内,并且在执行更新之前需要明确的用户确认。然而,这些命令读取系统包状态,并在应用时将修改系统/全局包,可能需要高级权限或影响系统管理的 Python/npm 安装。指南 '除非用户明确要求,否则跳过系统关键包' 不明确,如果不谨慎处理,可能导致危险的更新。
✓ 安装机制
仅指令的技能,无安装规格和代码文件 — 最低风险安装姿态。技能本身没有下载或写入任何内容。
✓ 凭证需求
技能不请求环境变量、凭证或配置路径。它将在检查/更新包(npm/pip/go)时隐式地启动网络活动,这对于此功能是预期的。
✓ 持久化与权限
always 为 false,技能不请求持久存在或高级平台权限。代理可以被自主调用(默认),但这很正常;实际包更新由指令中的明确用户确认控制。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/25
● 无害
安装命令 点击复制
官方npx clawhub@latest install package-manager-updates
镜像加速npx clawhub@latest install package-manager-updates --registry https://cn.clawhub-mirror.com
技能文档
此技能自动化包更新工作流:检查 → 总结 → 更新(按需)。
工作流
步骤 1:检查更新
运行以下命令检查每个包管理器的过期包:# npm 全局包
npm outdated -g --depth=0 2>/dev/null || echo "npm: 无全局包"
# pip
pip list --outdated 2>/dev/null || pip3 list --outdated 2>/dev/null
# Homebrew
brew outdated
# Cargo (Rust)
cargo outdated 2>/dev/null || echo "cargo: 未安装或无项目"
# Go 模块
go list -m -u all 2>/dev/null || echo "go: 无模块"
步骤 2:呈现总结
以清晰的表格格式化结果:| 包管理器 | 过期计数 |
|---|---|
| npm | X |
| pip | X |
| brew | X |
| cargo | X |
步骤 3:更新(按需)
仅在用户明确确认后更新。运行:# npm - 更新所有全局包
npm update -g
# npm - 更新指定包
npm install -g @latest
# pip
pip install --upgrade
# pip (Homebrew 管理)
brew upgrade pip 2>/dev/null || pip install --upgrade
# Homebrew
brew update && brew upgrade
# Homebrew (更新/升级后)
brew cleanup
brew doctor
# Homebrew - 指定包
brew upgrade
# Cargo
cargo update
# Go
go get -u
排除
- 始终排除 OpenClaw 包(检查包名是否以
openclaw开头或位于 OpenClaw 生态系统中) - 除非用户明确要求,否则跳过系统关键包
输出格式
保持输出简洁。使用 markdown 表格进行总结。仅在用户确认时显示更新命令。数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制