安全扫描
OpenClaw
可疑
high confidence技能指令与其目的(调用 Trello REST API)匹配,但注册元数据省略了必需的凭据(TRELLO_API_KEY、TRELLO_TOKEN)和二进制文件(jq),这在 SKILL.md 中被要求。这种不一致应在使用前纠正。
评估建议
此技能看似是一个直截了当的 Trello CLI 教程,使用 curl + jq,需要您的 Trello API 密钥和令牌。安装或启用前,请考虑以下几点:
1. 元数据不匹配:SKILL.md 需要 TRELLO_API_KEY、TRELLO_TOKEN 和 jq,但注册条目列出没有任何一个。请请求发布者修复声明的要求,以便平台正确管理秘密/二进制文件。
2. 只有在信任技能源时才提供 Trello API 密钥/令牌。这些令牌授予访问您的 Trello 账户的权限——将它们视为敏感秘密并存储在平台的秘密存储中(而不是共享 shell 启动文件中)。
3. 避免在共享 shell 或日志中粘贴令牌。更喜欢使用平台的环境或秘密管理功能。
4. 由于这是指令-only,没有下载的代码,这降低了安装风险。仍然验证技能所有者(kn70py...)并考虑使用作用域/有限的 Trello 令牌,如果可能的话。如果您不确定或无法确认发布者,请在元数据被纠正并验证源之前不要设置您的真实 Trello 凭据。...详细分析 ▾
ℹ 用途与能力
SKILL.md 描述了标准的 Trello REST API 操作(列出板块/列表/卡片,创建/移动/归档卡片)并使用 curl/jq。这些要求与技能名称和描述一致。然而,注册级别的元数据(要求部分)声明没有必需的环境变量或二进制文件,而 SKILL.md 明确需要 TRELLO_API_KEY、TRELLO_TOKEN 和 jq —— 这是一个包装/元数据不匹配。
✓ 指令范围
运行时指令狭窄且规定性强:它们显示使用 API 密钥/令牌和 jq 格式化输出的 curl 调用到 api.trello.com。指令不要求读取无关文件、系统配置或向 Trello 之外的端点发送数据。然而,它们确实指示用户将敏感凭据放在环境变量中(用于 API 使用,预期如此)。
✓ 安装机制
这是一个指令-only 的技能,没有安装规范和代码文件,因此技能本身不会将任何内容写入磁盘。这降低了安装风险。
⚠ 凭证需求
SKILL.md 中请求的秘密级别凭据(TRELLO_API_KEY 和 TRELLO_TOKEN)对于 Trello 集成是合适和适当的。担忧的是,注册元数据没有声明这些必需的环境变量(也没有声明 jq),这意味着平台可能无法为用户正确地处理这些秘密。这种元数据省略创建了配置错误或意外暴露凭据的风险。
✓ 持久化与权限
技能不请求永久存在(always: false)并且不修改其他技能或代理范围内的配置。启用了自治调用(默认),这对于技能来说是正常和预期的,并且本身不会在这里增加担忧。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/1/5
● 无害
安装命令 点击复制
官方npx clawhub@latest install trello
镜像加速npx clawhub@latest install trello --registry https://www.longxiaskill.com
技能文档
(保持原文,仅提供翻译的元信息,SKILL.md 内容保持原样)
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制