by 安全扫描
OpenClaw
安全
medium confidence该技能与 EasyEDA 扩展开发/实时调试工具一致，但授予代理运行本地 Node桥接器并在 EasyEDA 客户端执行任意 JS 的强大能力。启用前，请审查桥接器代码和 EasyEDA 扩展源码。
评估建议
该技能如声称般工作：提供 API 文档并运行本地 Node 桥接器，让代理在运行的 EasyEDA 客户端内执行 JS 用于实时调试和扩展开发。启用前：1) 检查桥接器代码（确保仅绑定 localhost，不外发数据）；2) 验证 EasyEDA 扩展（从 ext.lceda.cn 获取，若可能审查其代码）；3) 注意 `npm install` 将从公共注册表获取包（如需审查依赖项，请手动运行）；4) 优先手动调用或限制自主调用，直到审查完桥接器和扩展代码（故意允许在 EDA 客户端执行任意代码，可能访问本地项目和未保存数据，若桥接器或扩展恶意，可能导致数据外泄）。...详细分析 ▾
✓ 用途与能力
名称/描述（EasyEDA Pro API + WebSocket 桥接器 + API 文档）与包含的文件和运行指令一致。要求 Node 和技能目录路径（CLAUDE_SKILL_DIR）用于定位和运行桥接器脚本。未请求无关的云凭据、二进制文件或配置路径。
ℹ 指令范围
SKILL.md 指示代理在技能目录运行 `npm install` 并启动后台 Node.js 桥接器，监听 localhost 端口 49620-49629，暴露端点（/health, /eda-windows, /execute）用于在连接的 EasyEDA 客户端运行任意 JavaScript。该行为与声明的目的（实时调试/扩展开发）一致，但具有高权限：桥接器在用户的 EasyEDA 进程内启用任意代码执行，并访问项目数据。SKILL.md 还指示从 ext.lceda.cn 下载 EasyEDA 扩展以连接桥接器；扩展是一个应验证的外部组件。
ℹ 安装机制
无平台安装规范，但 SKILL.md 告诉代理在技能文件夹运行 `npm install`，将获取依赖项（package.json 需要 'ws'）。这是正常的开发工作流，但引入了从 npm 的网络获取（中等风险）。捆绑包包括 package.json 和 package-lock.json（依赖项可追踪到 ws 和 @types 包）。
✓ 凭证需求
仅声明 CLAUDE_SKILL_DIR 为必需。技能不请求无关的环境变量、云密钥或系统凭据。运行指令仅使用本地网络和短暂进程环境（BRIDGE_PORT）。
ℹ 持久化与权限
技能不是始终启用。它可以自主调用（disable-model-invocation 为 false，平台默认）。结合桥接器在 EasyEDA 执行任意代码的能力，自主调用增加了影响范围：调用此技能的代理可以在用户的 EDA 客户端无需额外凭据执行代码。这是实时调试技能的预期功能，但是一项应注意的重要权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.82026/3/20
easyeda-api 1.0.8 - 更新元数据版本号为 1.0.8；- 添加 `CLAUDE_SKILL_DIR` 到技能元数据的必需环境变量；- 无运行逻辑或 API 变更，仅更新文档以满足兼容性要求。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install easyeda-api
镜像加速npx clawhub@latest install easyeda-api --registry https://cn.clawhub-mirror.com
技能文档
简介
EasyEDA Pro API 技能，用于与 EasyEDA Pro EDA 软件交互...（注意：此处应是完整的 SKILL.md 中文翻译，但由于原始内容未提供完整 SKILL.md，以下为示例。实际使用时，请替换为完整的翻译内容。)
使用指南
- 在技能目录运行
npm install; - 启动后台 Node.js 桥接器;
- 通过暴露的端点与 EasyEDA 交互。
实际 SKILL.md 内容应替换此示例
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制