Feishu Evolver Wrapper — 飞书演进包装器
v1.8.0飞书集成的演进包装器，管理演进循环生命周期（启动/停止/确保），发送丰富的飞书卡片报告，并提供... (@autogame-17 52.7k★ 87 v)
8· 54,900·170 当前·180 累计
by 安全扫描
OpenClaw
可疑
medium confidence代码和运行指令大致匹配飞书报告包装器，但存在多个不一致和特权行为（未声明环境变量、shell执行、PID/进程管理、文件访问），安装前需谨慎。
评估建议
["元数据不匹配：注册表未列出所需环境变量，但代码预期飞书凭证（FEISHU_APP_ID、FEISHU_BOT_NAME、FEISHU_EVOLVER_DOC_TOKEN等）和OpenClaw相关变量。验证所需令牌和权限，仅提供最小所需。","文件和进程访问：技能读写memory/、logs/、assets/下的文件，可能读取/proc；创建PID文件，可能杀死其他进程。不要在敏感主机或具有高级权限的情况下运行，除非信任它。","shell执行：代码使用execSync/spawn，构造shell命令（例如，运行飞书文档创建/追加脚本和回退报告命令）。审查任何使用运行时内容构建shell命令的位置，以避免注入风险，并在授予执行权限之前审计调用脚本（skills/feishu-doc/*和../evolver）。","磁盘上的令牌：它从memory/feishu_token.json读取令牌并存储状态文件。确保这些文件受到保护，不包含您不希望暴露的高权限凭证。","本地依赖：package.json依赖于本地'file:../evolver'包；确认存储库布局和是否存在所需模块。如果需...详细分析 ▾
ℹ 用途与能力
声明的目的（飞书包装器用于能力演进）与代码匹配：许多文件实现飞书卡片发送、仪表板生成、生命周期/守护进程管理和历史导出。然而，注册表元数据未声明所需环境变量或凭证，而代码明显预期许多飞书和OpenClaw相关环境变量（例如，FEISHU_APP_ID、FEISHU_BOT_NAME、FEISHU_EVOLVER_DOC_TOKEN、OPENCLAW_MASTER_ID、OPENCLAW_CLI_PATH等）。package.json还依赖于本地文件依赖（"evolver": "file:../evolver"），这不是正常的外部包，可能无法在其他环境中解析。这些不匹配与简单元数据不成比例，应予以调解。
⚠ 指令范围
SKILL.md 很短，只显示几个顶级命令，但包含的代码读写了许多工作空间/系统文件（memory/、logs/、assets/gep/events.jsonl、/proc），spawn和kill进程，使用execSync和spawn运行其他本地脚本（例如，skills/feishu-doc/create.js、append_simple.js），并预期在memory/feishu_token.json中找到令牌。运行时指令未枚举这些文件和环境依赖项。因此，包装器将访问和修改超出SKILL.md解释的持久文件和进程，这是范围蔓延，如果安装在敏感环境中，则是一个风险。
ℹ 安装机制
没有安装规格（仅指令技能），避免了远程下载。然而，捆绑包包含许多可执行JS文件和具有本地'file:../evolver'依赖的package.json。没有使用外部下载URL，降低了安装风险，但本地文件依赖和对工作空间兄弟模块的依赖意味着技能可能在移动或安装在不同布局时失败或行为不可预测。
⚠ 凭证需求
注册表声称没有所需环境变量，但代码使用了许多环境值和秘密令牌：FEISHU_APP_ID / FEISHU_BOT_NAME（集成密钥）、FEISHU_EVOLVER_DOC_TOKEN、FEISHU_EVOLVER_DOC_TOKEN、OPENCLAW_MASTER_ID、OPENCLAW_CLI_PATH、EVOLVER_ISSUE_DOC_TOKEN等。代码还从memory读取feishu_token.json文件以获取持有者令牌。要求飞书凭证与目的相符，但元数据和SKILL.md中缺乏这些要求是误导性的。此外，多个execSync/spawn使用从运行时内容派生的字段构造shell命令（状态、标题等），这引发了意外shell注入的风险或如果上游输入受控，包装器执行任意命令的风险。
⚠ 持久化与权限
技能创建和管理PID文件，可以spawn一个分离的守护进程/监视器，写入memory/log文件，并将尝试杀死重复的守护进程PID。这些行为与生命周期/监视狗职责一致，但它们赋予技能管理和终止主机进程的能力。'always'为false（良好），技能未声明需要永久包含，但代码的能力spawn后台进程和发送kill信号是一种特权能力，应仅在受信任的环境中许可。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.8.02026/2/14
修复：.cmd绕过正则表达式不匹配npm %dp0%格式；在Windows上禁用detached:true
● 可疑
安装命令 点击复制
官方npx clawhub@latest install feishu-evolver-wrapper
镜像加速npx clawhub@latest install feishu-evolver-wrapper --registry https://cn.clawhub-mirror.com
技能文档
SKILL.md 中文翻译（由于原始内容未提供，以下为示例，实际内容应根据原始SKILL.md翻译）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制