安全扫描
OpenClaw
可疑
medium confidenceSKILL.md 与 CLI 聚焦技能(mcporter)一致,但包含与注册记录冲突的元数据/安装指令,且运行时指令允许执行任意 stdio 命令和在本地配置中存储认证——安装或授权访问前请审查。
评估建议
该技能看似 mcporter 工具的 CLI 辅助,大部分连贯,但安装前请注意:1) 元数据不匹配——注册记录显示无安装/二进制要求,而 SKILL.md 期望 'mcporter' 二进制文件并提供 npm 安装;确认哪个准确。2) SKILL.md 示例包含 --stdio 和运行任意命令(如 bun run ./server.ts),因此 CLI 可用于执行或代理任意子进程——仅在可信/沙盒环境中允许。3) 认证流程可能将令牌存储在本地配置(./config/mcporter.json)中——检查并锁定该文件,避免提供广泛的平台凭证。4) 安装建议是 npm 包;安装前审查 npm 包页面、作者、源仓库和最近发布。5) 如允许代理自主调用此技能,考虑限制代理可访问的凭证,并先手动测试 CLI 以了解其行为。...详细分析 ▾
ℹ 用途与能力
技能名称/描述与 SKILL.md 一致:它是 mcporter CLI 的轻量封装(列出、调用、认证、配置、代码生成)。但注册元数据未列出必需二进制文件或安装,而 SKILL.md 元数据明确需要 'mcporter' 二进制文件并建议安装 npm 包 'mcporter'——声明注册要求与运行时指令之间的不一致。
ℹ 指令范围
指令将代理限制在使用 mcporter CLI(列出、调用、认证、配置、守护进程、生成)。它们引用默认配置路径(./config/mcporter.json)并展示运行任意 stdio 命令的示例(如 `mcporter call --stdio "bun run ./server.ts"`)——这意味着 CLI 可用于执行或管道任意子进程活动。SKILL.md 不指示代理读取无关系统文件或环境变量,但运行任意命令和执行认证的能力意味着代理可能导致本地执行或创建/存储凭证。
ℹ 安装机制
注册声称'无安装规范',但 SKILL.md 元数据包含安装提示:Node/npm 包 'mcporter'(kind: node)。从 npm 安装很常见,但与无安装相比风险中等;npm 包可能包含任意代码。安装源是包名(npm 风格),而非直接任意 URL,更可追溯,但安装前应验证包及其发布者。
ℹ 凭证需求
该技能声明无必需环境变量或主凭据,与仅指令 CLI 封装的比例相符。但 SKILL.md 记录了认证命令和可能存储凭证(OAuth 令牌、API 密钥)的本地配置路径(默认 ./config/mcporter.json)。由于该技能可运行认证流程并写入配置文件,即使未预先声明,也可能最终在本地存储秘密——用户应注意并检查凭证的存储位置。
✓ 持久化与权限
always:false 且不存在对其他技能的安装时修改。该技能不需要永久的平台范围存在。注意该技能(如所有技能)可由代理自主调用(disable-model-invocation:false),因此如允许自主使用,代理可在无进一步提示的情况下调用 mcporter 命令。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/1/5
● 可疑
安装命令 点击复制
官方npx clawhub@latest install mcporter
镜像加速npx clawhub@latest install mcporter --registry https://www.longxiaskill.com
技能文档
Use mcporter to work with MCP servers directly.
Quick start
mcporter listmcporter list--schema mcporter callkey=value
Call tools
- Selector:
mcporter call linear.list_issues team=ENG limit:5 - Function syntax:
mcporter call "linear.create_issue(title: \"Bug\")" - Full URL:
mcporter call https://api.example.com/mcp.fetch url:https://example.com - Stdio:
mcporter call --stdio "bun run ./server.ts" scrape url=https://example.com - JSON payload:
mcporter call--args '{"limit":5}'
Auth + config
- OAuth:
mcporter auth[--reset] - Config:
mcporter config list|get|add|remove|import|login|logout
Daemon
mcporter daemon start|status|stop|restart
Codegen
- CLI:
mcporter generate-cli --serveror--command - Inspect:
mcporter inspect-cli[--json] - TS:
mcporter emit-ts--mode client|types
Notes
- Config default:
./config/mcporter.json(override with--config). - Prefer
--output jsonfor machine-readable results.
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制