by 安全扫描
OpenClaw
可疑
medium confidence该技能的描述和运行指令大致合理，但存在不一致（捆绑的 Python 脚本没有声明运行时二进制文件或安装规格，文档指向外部 GitHub 仓库但注册元数据没有主页/源）。在安装或运行前，请审查代码和网络/能力行为，尤其是在处理敏感数据时。
评估建议
["确认源代码真实性：README 引用了 GitHub 仓库，但注册元数据没有主页/源，请在信任包之前确认规范源（如 GitHub 仓库）。","检查脚本：运行前，打开 scripts/workflow.py、scripts/data_analyzer.py 和 scripts/plot_generator.py，搜索网络库或调用（如 requests、urllib、socket 等），确保没有硬编码端点或上传数据尝试。","隔离运行：使用可抛弃的虚拟环境或沙盒/容器，不要在确认行为前运行敏感数据。将 Python 依赖项安装在 venv 中，而不是全局安装。","注意数据泄露风险：技能自动将上传的文件保存到磁盘，确保输出路径可接受，脚本不发送文件到外部端点。如果脚本使用日志，请确认日志不包含完整的数据内容。","确认确认步骤：SKILL.md 强调在生成图表前等待用户明确确认，请确保代理强制执行此步骤，不要自主跳过确认。","验证依赖项安装：README 建议使用 pip 安装常见包。安装包会运行 PyPI 代码，建议使用固定版本并检查安装命令。"]...详细分析 ▾
ℹ 用途与能力
技能名称、README 和 SKILL.md 描述了一个绘图工作流，包含的文档和示例与此目的相符。然而，技能捆绑了 Python 脚本，但没有声明所需的 Python 二进制文件或安装规格；文档指示使用 pip/git，但注册元数据没有主页/源 — 这个不匹配是意外的（该工具需要 Python 和依赖项才能运行）。
⚠ 指令范围
SKILL.md 指示代理自动保存上传的用户文件（将其重命名为时间戳输出/目录），分析它们，等待确认，然后生成代码和图像。该工作流在绘图工具的预期范围内，但实际脚本（workflow.py、data_analyzer.py、plot_generator.py）在审查中没有完全提供（截断），因此无法检查其 I/O 和任何网络行为。由于技能将用户数据写入磁盘并执行捆绑脚本，您应该验证这些脚本不泄露数据或调用意外端点。
ℹ 安装机制
没有安装规格（仅指令），这降低了安装级别的风险。然而，文档鼓励使用 git clone 和 pip 安装依赖项；这些是手动指令，但不受注册元数据强制执行。明确安装规格的缺失与捆绑的 Python 代码相结合意味着代理或人类可能会从 README 运行 pip/git 命令 — 在运行前，请审查并优先使用隔离的虚拟环境。
✓ 凭证需求
技能不请求环境变量、凭证或配置路径。这对于绘图工具是合理的。注意：运行技能将需要访问 pip（如果安装依赖项）和 Python 运行时；这些在元数据中没有声明为所需的二进制文件。
✓ 持久化与权限
always 为 false，没有迹象表明技能需要永久的系统范围权限。它将输出写入工作路径下的 output/ 目录，这是正常的。没有发现技能修改其他技能或全局配置的证据。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.32026/3/12
更新 SKILL.md 以简化和阐明描述和使用指令。改进触发器描述以强调 CSV/Excel/TXT 文件支持和典型数据可视化请求。移除冗余内容并压缩工作流解释以便于理解。无功能或代码更改，仅更新文档。
● 无害
安装命令 点击复制
官方npx clawhub@latest install pythesis-plot
镜像加速npx clawhub@latest install pythesis-plot --registry https://cn.clawhub-mirror.com
技能文档
SKILL.md 中文翻译（由于原始内容未提供，以下为示例，实际内容应根据原始 SKILL.md 翻译）
标题: Pythesis Plot 描述: 科学论文图表绘制工具
使用指南
- 上传数据（CSV/Excel/TXT）
- 等待分析和推荐
- 确认生成图表
依赖项
- Python
- Matplotlib
- Pandas
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制