by 安全扫描
OpenClaw
可疑
medium confidence该技能实现了富途纸面交易集成，自动创建虚拟环境和安装包，但元数据中未声明环境变量和源细节，运行时安装行为需谨慎。
评估建议
此技能会在您的机器上运行：自动创建虚拟环境，安装futu-api和akshare，联系本地FutuOpenD服务查询和下单模拟交易。安装或启用前，请考虑：源和来源未知，优先选择可验证的仓库或作者；环境变量中包含敏感信息（FUTU_TRADE_PWD等），避免使用真实账号密码；运行时安装包，可能执行第三方代码；网络行为除了本地FutuOpenD，还可能通过akshare访问公网；建议在沙盒环境中测试；自动调用时，移除自动权限或监控操作。...详细分析 ▾
⚠ 用途与能力
技能的声明目的（富途纸面交易）与包含的代码和使用的futu-api/akshare一致。但注册元数据未声明所需环境变量或凭据，而SKILL.md和代码明确依赖环境变量（FUTU_TRADE_PWD、FUTU_HOST、FUTU_PORT等）。技能的源/主页为'未知'，增加了包裹不来自可信来源的风险。
⚠ 指令范围
SKILL.md 指示代理运行捆绑的Python脚本，脚本会：创建虚拟环境，pip安装要求，并重新执行自己。指令引用几个环境变量和本地FutuOpenD服务访问。技能会访问包含敏感数据的环境变量（交易密码，选项账号/密码）。运行时指令会安装和执行第三方包（futu-api，akshare），这些包可以执行超出本地OpenD服务的网络I/O。
ℹ 安装机制
注册中没有明确的安装规格，但捆绑的脚本在运行时自动创建一个.venv并运行pip install -r requirements.txt。这是Python工具的常见模式，但意味着将从PyPI获取和执行主机上的任意包代码。使用的包（futu-api，akshare）对于声明的目的是合理的；安装是运行时的，不固定到确切版本。
⚠ 凭证需求
SKILL.md和代码要求几个环境变量（FUTU_TRADE_PWD用于交易，FUTU_TRD_ENV、FUTU_HOST、FUTU_PORT、FUTU_ACCOUNT、FUTU_PASSWORD）。然而，注册元数据没有列出所需的环境变量或主要凭据——这是不一致的。通过环境变量要求密码是敏感的，应该在元数据中声明和辩护。技能检查并禁止REAL交易环境，这是对意图的缓解控制，但不能消除凭据风险。
✓ 持久化与权限
技能没有请求'always: true'，也不似乎修改其他技能或全局代理配置。其持久性仅限于在技能目录内创建一个.venv并安装依赖。默认允许自动调用（正常），但如果技能是恶意的，这会增加影响范围。
安全有层次，运行前请审查代码。
运行时依赖
🖥️ OSmacOS · Linux · Windows
版本
latestv1.0.02026/3/7
初始发布 - 港股模拟交易工具
● 无害
安装命令 点击复制
官方npx clawhub@latest install xtrade-futu-paper-trade
镜像加速npx clawhub@latest install xtrade-futu-paper-trade --registry https://cn.clawhub-mirror.com
技能文档
当用户需要查询行情、持仓、订单、成交或下单时，调用此技能。使用本技能时：
- 统一通过 {baseDir}/xtrade_xtrade_futu_skill.py 执行
- 首次执行会自动创建虚拟环境并安装依赖
- 依赖本地 FutuOpenD 服务
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制