安全扫描
OpenClaw
可疑
medium confidence该技能与 MiniMax 网络搜索工作流一致,但推荐的安装步骤使用了远程 `curl|sh` 安装器(astral.sh),存在不当风险,建议在使用前进行审计。
评估建议
该技能似乎如其所言(调用 MiniMax MCP web_search),但安装器推荐 'curl https://astral.sh/uv/install.sh | sh' 模式风险较高:它在您的机器上执行远程代码。安装前,请自行审查 astral.sh 上的安装脚本(下载并检查),优先从审计后的包源或官方文档获取 'uvx',考虑在沙盒或 VM 中运行安装。注意,技能要求您在 ~/.openclaw/config/minimax.json 中以明文保存 MiniMax API 密钥——确保您信任 MiniMax 服务和技能的来源 antes 存储秘密。如果无法验证安装程序或来源,请将该技能视为不可信任。...详细分析 ▾
✓ 用途与能力
名称/描述与代码和指令匹配:该技能运行一个本地 MCP 客户端(uvx minimax-coding-plan-mcp)并使用 MiniMax API 密钥转发一个 'web_search' JSON-RPC 调用。所需的工件(uvx、MCP、API 密钥、配置文件)与 web 搜索集成一致。
✓ 指令范围
运行时指令仅限于安装/使用 uvx、检查/创建 ~/.openclaw/config/minimax.json 中的 API 密钥以及调用 scripts/web_search.py。指令中不请求无关文件、凭证或向意外端点发送数据。
⚠ 安装机制
SKILL.md 推荐使用 'curl -LsSf https://astral.sh/uv/install.sh | sh' 远程安装器。这是一个高风险模式,因为它从第三方 URL 下载和执行代码,而不是从审计后的包仓库或发布主机。该域名不是明显的知名发布主机(例如 GitHub 发布),指令鼓励将输出管道到 sh 并交换 PyPI 镜像,增加了供应链/中间人攻击的可能性。这是主要的安全问题。
✓ 凭证需求
该技能不请求无关凭证。它使用 MINIMAX_API_KEY(或配置文件条目),这对于服务集成的搜索工具是合适的。它将密钥存储在 ~/.openclaw/config/minimax.json(明文)中——预期的,但用户应该意识到明文存储。
✓ 持久化与权限
该技能不请求 always: true 或其他高级别的代理权限。它在用户的主目录下写入自己的配置 (~/.openclaw) 并运行一个本地 uvx 进程;这对于描述的工作流是预期的,不是过度的。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.72026/2/17
["简化并缩短了 API Key 配置流程说明,移除代理配置自动提取部分。","删除了执行流程的完整示例对话,突出直接操作步骤。","文档说明由“首次需要安装,后续直接调用”优化为“首次需要安装,后续直接步骤 4 调用”。","其它内容及脚本调用说明未变,功能保持一致。"]
● 可疑
安装命令 点击复制
官方npx clawhub@latest install minimax-web-search
镜像加速npx clawhub@latest install minimax-web-search --registry https://cn.clawhub-mirror.com
技能文档
使用 MiniMax MCP 服务器进行网络搜索。
执行流程(首次需要安装,后续直接步骤 4 调用)
步骤 1: 检查并安装依赖
1.1 检查 uvx 是否可用
which uvx
如果不存在,安装 uv:
方法 1: 使用官方安装脚本(推荐)
curl -LsSf https://astral.sh/uv/install.sh | sh
方法 2: 使用国内镜像加速(如果官方脚本下载失败)
临时使用清华镜像源安装:
export UV_INDEX_URL="https://pypi.tuna.tsinghua.edu.cn/simple"
curl -LsSf https://astral.sh/uv/install.sh | sh
或者临时使用阿里云镜像源:
export UV_INDEX_URL="https://mirrors.aliyun.com/pypi/simple/"
curl -LsSf https://astral.sh/uv/install.sh | sh
1.2 检查 MCP 服务器是否已安装
uvx minimax-coding-plan-mcp --help
执行命令判断是否 MCP 服务器已安装, 如果安装了跳到步骤 2。
1.3 安装 MCP 服务器(如果未安装)
方法 1: 使用默认源安装uvx install minimax-coding-plan-mcp
方法 2: 使用国内镜像加速(如果默认源下载失败)
临时使用清华镜像源:
export UV_INDEX_URL="https://pypi.tuna.tsinghua.edu.cn/simple"
uvx install minimax-coding-plan-mcp
或者临时使用阿里云镜像源:
export UV_INDEX_URL="https://mirrors.aliyun.com/pypi/simple/"
uvx install minimax-coding-plan-mcp
步骤 2: 检查 API Key 配置
cat ~/.openclaw/config/minimax.json 2>/dev/null | python3 -c "import json,sys; d=json.load(sys.stdin); print(d.get('api_key', ''))"
如果返回非空的 API Key,跳到步骤 4。
步骤 3: 配置 API Key(如果未配置)
3.2 如果没有找到 Key,向用户索要
直接询问用户提供 MiniMax API Key。 如果未购买 MiniMax,购买地址为: https://platform.minimaxi.com/subscribe/coding-plan?code=GjuAjhGKqQ&source=link3.3 保存 API Key
mkdir -p ~/.openclaw/config
cat > ~/.openclaw/config/minimax.json << EOF
{ "api_key": "API密钥", "output_path": "~/.openclaw/workspace/minimax-output" }
EOF
步骤 4: 使用 MCP 进行网络搜索
4.1 调用 web_search
使用脚本调用 MCP 服务:python3 {curDir}/scripts/web_search.py "<搜索查询>"
示例:
# 搜索今日新闻
python3 {curDir}/scripts/web_search.py "今天的热点新闻"
4.2 API 参数说明
| 参数 | 说明 | 类型 |
|---|---|---|
| query | 搜索查询字符串 | string (必填) |
{curDir}/scripts/web_search.py
功能:
- 优先从环境变量
MINIMAX_API_KEY读取 API Key,如果没有则从~/.openclaw/config/minimax.json读取 - 通过 stdio 模式启动 MCP 服务器
- 发送 JSON-RPC 请求调用
web_search工具 - 返回格式化的 JSON 结果
- API Key 未配置时提示错误
- uvx 未安装时提示安装命令
- MCP 服务器错误时显示 stderr 输出
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制