安全扫描
OpenClaw
安全
high confidence该技能的指令和要求与使用Membrane CLI的PayPal集成一致，无不相关的凭据或系统访问请求，但存在少量文档/包装不一致，安装前需验证。
评估建议
该技能聚焦于使用Membrane CLI访问PayPal。安装/使用前：(1) 确认信任@membranehq/cli npm包和Membrane服务；(2) 了解需要Membrane账户并通过浏览器流授权，审查OAuth范围；(3) SKILL.md要求安装全局npm CLI，确保环境策略允许并审计CLI；(4) 自动化/CI环境需审查Membrane的无头登录流和令牌安全。如果以上任何点不可接受，请勿安装或授予账户访问权限。...详细分析 ▾
ℹ 用途与能力
该技能声称通过Membrane集成PayPal，SKILL.md一致性记录了Membrane CLI使用和PayPal操作。小不一致：注册元数据列出“无需二进制文件”，但运行时指令需要安装和执行'membrane' CLI。
✓ 指令范围
所有运行时指令仅限安装和使用Membrane CLI，创建连接、列出和运行操作，以及代理PayPal请求。指令不要求代理读取无关文件、环境变量或从Membrane/PayPal流外泄数据。
ℹ 安装机制
该技能仅有指令（无安装规格），但SKILL.md指导用户运行'npm install -g @membranehq/cli'。安装公共npm CLI是正常步骤，但带有npm包的通常供应链风险——安装前验证包名/维护者，并偏好审计环境。
✓ 凭证需求
该技能自身不请求环境变量或凭据，明确将认证委托给Membrane（浏览器OAuth流）。对于代理到PayPal的连接器，这是合理的，不请求无关秘密。
✓ 持久化与权限
该技能不总是启用，不包含安装时脚本或代码以持久化或修改其他技能。允许自主调用（平台默认），但包中无添加的持久性或权限提升。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.22026/4/2
● 无害
安装命令
点击复制官方npx clawhub@latest install paypal-integration
镜像加速npx clawhub@latest install paypal-integration --registry https://cn.longxiaskill.com
技能文档
（由于原始内容较长，以下为简略翻译，保留关键部分）
name: paypal ...（保留原始元数据）...
# PayPal PayPal是一种广泛使用的在线支付系统，允许用户安全发送和接收钱款。开发者经常将其集成到应用中处理金融交易。官方文档：https://developer.paypal.com/docs/api/
PayPal概览
- 支付
- 收款人
- 发票
- 账户余额
- 交易
- 订阅
- 身份
- 钱包
- 支付方式
使用所需的操作名称和参数。
与PayPal合作
该技能使用Membrane CLI与PayPal交互。Membrane处理身份验证和凭据刷新，因此您可以专注于集成逻辑而不是身份验证管道。安装CLI
安装Membrane CLI以在终端运行membrane：
npm install -g @membranehq/cli
首次设置
membrane login --tenant
membrane login complete ...（其他部分保留原始代码块和指令，不翻译）...
最佳实践
- 始终优先让Membrane与外部应用交互 — Membrane提供预构建的操作，带有内置身份验证、分页和错误处理。这将减少令牌消耗并使通信更安全
- 在构建前发现 — 运行
membrane action list --intent=QUERY（用您的意图替换QUERY）以找到现有的操作，然后再编写自定义API调用。预构建的操作处理分页、字段映射和原始API调用缺失的边缘情况。
- 让Membrane处理凭据 — 永远不要要求用户提供API密钥或令牌。创建连接即可；Membrane在服务器端管理完整的Auth生命周期，无本地秘密。