by 安全扫描
OpenClaw
安全
medium confidence该技能的文件和运行指令与其声明的目的相符（通过 Apple Shortcuts 工作流解析抖音分享链接并保存到照片），但存在隐私和_minor-declaration_问题，使用前应考虑。
评估建议
该技能似乎做了它声称的：构建一个 Shortcuts 工作流，通过解析 API 将抖音分享链接发布到 API，下载返回的 MP4，保存到照片，并清理。安装或运行前：1) 默认解析器（https://www.tikwm.com/api/）是第三方服务，您的共享 URL 和元数据将被发送到该服务并可能被记录；如果您关心隐私，请配置可信任的自托管回退或删除默认设置。2) 包含的解析器脚本需要 `curl` 和 `jq`（未在元数据中列出）进行本地测试；如果您计划运行脚本，请安装它们。3) 确认您有权下载/保存内容，并且此用途符合抖音/蒂克托克的条款和当地法律。4) 由于未提供所有者和主页，建议您在使用前自己审查脚本和快捷方式 JSON；代码小且可读，局部审计是可行的。如果您想要更高的保证，请要求发布者声明所需的二进制文件并记录默认解析器的隐私属性或提供经过审查的自托管解析器选项。...详细分析 ▾
✓ 用途与能力
名称/描述、SKILL.md、清单、快捷方式逻辑以及包含的解析器脚本都是协调一致的：通过 API 解析抖音分享链接并将结果 MP4 保存到照片，合理地需要 API 调用和下载器。一个不一致点：脚本需要 `curl` 和 `jq` 运行，但技能元数据未列出所需的二进制文件——这些依赖是隐含的，而不是声明的。
ℹ 指令范围
运行指令保持在声明的工作流内（收集链接、验证域、调用解析 API 链、下载文件、保存到照片、清理）。然而，解析器将用户提供的分享 URL 发送到外部解析端点（默认：https://www.tikwm.com/api/ 和任何用户配置的回退）。这对于解析方法是必要的，但意味着链接（和可能的元数据）将被传输到第三方服务，尽管文档中有“隐私安全”的语言。
✓ 安装机制
这是仅指令的，附有一个小助手脚本；没有安装程序，也没有远程存档下载。这保持了最小的磁盘/持久性足迹。如果您运行验证，脚本将在本地执行，因此其行为（`curl`/`jq` 网络调用）是透明的和可审计的。
✓ 凭证需求
该技能不请求环境变量、凭证或平台秘密。这是合理的。注意：清单暴露了一个可配置的回退 API 端点——如果用户将其设置为不可信任的服务器，它可能会接收每个处理的分享 URL 和返回的视频 URL，因此用户的选择对于隐私很重要。
✓ 持久化与权限
该技能未标记为 `always:true`，也不请求超出网络和照片添加（如文档中所述）的高级平台权限。它不尝试修改其他技能或系统范围的设置。SKILL.md 强调临时文件清理和无存储；这些由包含的脚本和快捷方式指南遵守。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/3
douyin-to-photos 初始发布 - 启用一键 Apple Shortcuts 工作流，直接将抖音视频（无水印）保存到照片。 - 支持通过 Share Sheet 或剪贴板输入，具有用户友好的错误处理和隐私保护。 - 使用可配置的后端 API 解析 MP4，包括主要和回退提供者。 - 保存到照片后清除所有临时文件；不保留任何用户数据。 - 包括构建指令、提供者链解析器脚本和快速设置和自定义的清单模板。
● 无害
安装命令 点击复制
官方npx clawhub@latest install douyin-to-photos
镜像加速npx clawhub@latest install douyin-to-photos --registry https://cn.clawhub-mirror.com
技能文档
使用此技能实现一键 Apple Shortcuts 流程，用于授权的抖音视频存档到照片。
硬规则
- 只处理用户允许下载和存储的链接。
- 只请求必要的权限：网络 + 照片添加。
- 将所有临时文件保持在快捷方式临时文件夹中，并在导入后删除。
- 永远不要在本地快捷方式运行时之外保留用户链接、令牌或媒体元数据。
工作流
- 从 Share Sheet (
URL或文本）或剪贴板回退接受输入。 - 正规化和验证抖音 URL (
douyin.com或iesdouyin.com)。 - 通过 API 提供者链解析可播放的 MP4：
https://www.tikwm.com/api/
- 回退：用户定义的网关 API（例如自托管解析器）
- 下载 MP4 到临时文件。
- 保存到照片（可选目标用户选择的相册）。
- 删除临时文件并报告成功/失败。
包含的资源
scripts/fetch_douyin_no_watermark.sh：提供者链 URL 解析器，带有超时和结构化错误。references/shortcut-build-guide.md：一步一步的快捷方式构建指令。assets/skill-manifest.json：市场准备就绪的清单模板，带有参数化选项。
集成说明
- Share Sheet：启用
URLs输入类型。 - Back Tap：配置一个小型启动器快捷方式，读取剪贴板并调用主快捷方式。
- 保持 API 基 URL 和相册名称通过快捷方式字典值可配置。
验证
- 使用测试分享链接运行 URL 解析器脚本之前，将其连接到快捷方式。
- 测试四种场景：成功、无效链接、API 超时、API 配额/被阻止。
- 确认在成功和失败路径中都删除了临时媒体文件。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制