安全扫描
OpenClaw
安全
high confidence该技能的代码、指令和所需环境变量与其声明的目的(生成签名支付/提款链接)一致。唯一的敏感要求是签名者私钥,这对于签名是必要的,但应保护并专用于此用途。
评估建议
此技能似乎如其所言:生成签名支付和提款链接。安装或使用前,请执行以下步骤:1)仅为专用签名钱包(无资金)设置PTF_SIGNER_KEY,永远不要重用主钱包密钥。2)在受控环境中运行`npm install`并审查包版本(ethers/tronweb)以减少依赖供应链风险。3)验证PayTheFlyPro主页和技能所有者,如果您不信任来源。4)如果您控制(或使用自己的RPC),则更喜欢提供PTF_CUSTOM_RPC以避免向第三方RPC提供商泄露序列号。5)安全存储环境变量(避免在共享shell或日志中暴露它们)。如果您想要更高的保证,请先在本地使用一次性签名者密钥进行审计并尝试包含的脚本。...详细分析 ▾
✓ 用途与能力
名称/描述与代码和运行时指令匹配:脚本创建EIP-712/TIP-712签名并构建PayTheFlyPro URL;所需二进制文件(node/npm)和环境变量(项目ID、合约地址、签名者密钥、链ID)适合此功能。
✓ 指令范围
SKILL.md 指示运行包含的脚本并安装ethers和tronweb。指令仅读取声明的环境变量,不要求代理读取无关文件或泄露任意数据。查询脚本联系区块链RPC(用于状态检查,预期行为)。
ℹ 安装机制
没有正式的安装规范(仅指令),但SKILL.md 指导运行`npm install ethers tronweb`。这对于这些脚本来说是正常的依赖安装;用户应在安装前审查包版本以限制供应链风险。
ℹ 凭证需求
该技能需要PTF_SIGNER_KEY(私钥)以及项目/合约标识符和链ID。要求签名者私钥用于产生签名是预期的,但这是一项高度敏感的秘密——SKILL.md 推荐使用专用零资金签名者,这是合适的,应遵循。
✓ 持久化与权限
技能是用户可调用、非始终启用的,不请求任何持久或系统级权限。它不修改其他技能或系统配置。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.82026/2/18
完整包,包含所有文件
● 无害
安装命令 点击复制
官方npx clawhub@latest install paythefly
镜像加速npx clawhub@latest install paythefly --registry https://cn.clawhub-mirror.com
技能文档
PayTheFlyPro 生成 PayTheFlyPro 加密支付网关的EIP-712签名支付和提款链接。支持BSC、以太坊和TRON网络。
安全注意事项
签名者私钥(PTF_SIGNER_KEY)仅用于签名订单授权消息(EIP-712/TIP-712)。它不访问任何资金。
推荐:
- 生成一个专用钱包用于签名 - 不要使用主钱包
- 签名钱包不需要持有任何资金
- 在PayTheFlyPro仪表盘中注册签名地址作为您的项目的授权签名者
安装依赖
npm install ethers tronweb
创建支付链接
node {baseDir}/scripts/payment.mjs --amount "0.01" --serialNo "ORDER001"
...
选项
--amount:支付金额(必需)--serialNo:唯一订单号(必需)--token:令牌合约地址(省略为本地令牌)
创建提款链接
node {baseDir}/scripts/withdrawal.mjs --amount "100" --serialNo "WD001" --user "0x123456..."
...
选项
--amount:提款金额(必需)--serialNo:唯一提款号(必需)--user:收件人钱包地址(必需)
查询订单状态
node {baseDir}/scripts/query.mjs --type payment --serialNo "ORDER001"
...
选项
--type:订单类型:payment或withdrawal(必需)--serialNo:要查询的序列号(必需)
环境变量
| 变量 | 必需 | 描述 |
|---|---|---|
PTF_PROJECT_ID | 是 | PayTheFlyPro项目标识符 |
PTF_CONTRACT_ADDRESS | 是 | 项目智能合约地址 |
PTF_SIGNER_KEY | 是 | 签名私钥(专用钱包,无资金) |
PTF_CHAIN_ID | 是 | 链ID(56, 97, 1, tron:mainnet, tron:nile) |
PTF_CUSTOM_RPC | 否 | 自定义RPC端点 |
支持的链
| 链 | chainId | 本地令牌 |
|---|---|---|
| BSC Mainnet | 56 | BNB |
| BSC Testnet | 97 | BNB |
| Ethereum | 1 | ETH |
| TRON Mainnet | tron:mainnet | TRX |
| TRON Nile | tron:nile | TRX |
备注
- 每个序列号只能使用一次
- 提款签名在到期后失效(默认24小时)
- 对于TRON,地址使用Base58格式(以T开头)
- 本地令牌支付省略
--token参数
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制