安全扫描
OpenClaw
可疑
medium confidence该技能基本如描述执行,但代码中读取未声明的凭证和配置文件,并安装运行时包,存在未解释的不匹配,需谨慎。
评估建议
["安装前,请考虑:(1)SKILL.md 未声明图像生成密钥要求,但脚本会寻找 GEMINI_API_KEY 或从 ~/.openclaw/openclaw.json 读取 nano-banana-pro.apiKey,决定是否暴露该密钥或允许技能读取 OpenClaw 配置;(2)技能会创建 Python 虚拟环境并安装 google-genai 和 pillow,审查这些包并准备好代码在您的机器上运行;(3)存在一个额外的图像routine(mood_image.py)将使用 OPENAI_API_KEY,确认是否为意图或遗留代码;(4)如果决定继续,请要求作者:a) 明确在 SKILL.md 中记录所需环境变量和配置访问;b) 避免读取 ~/.openclaw/openclaw.json,要求明确环境变量;c) 移除未使用的凭证使用文件。若不确定,请在沙盒环境中运行技能或使用空/测试凭证在本地检查/执行脚本。"]...详细分析 ▾
⚠ 用途与能力
技能声称不需要凭证或配置,但其包含的代码预期使用 Gemini API 密钥(GEMINI_API_KEY)并包含一个替代图像routine,将使用 OPENAI_API_KEY。技能的目的(HN 摘要 + 心情图像)可以证明需要图像生成密钥,但 SKILL.md/注册元数据未声明任何所需的环境变量或解释密钥的来源。
⚠ 指令范围
SKILL.md 指示代理运行捆绑的 node 和 shell 脚本:调用 HN Algolia API(预期),创建本地 Python 虚拟环境、pip 安装包,并运行 Python 图像生成器。一个图像生成器(nano_banana_mood.py)将尝试读取 ~/.openclaw/openclaw.json 以提取 nano-banana-pro apiKey。读取另一个技能/代理配置文件超出了简单 HN 摘要的范围,并未在指令中声明。
ℹ 安装机制
无集中安装规范,但运行时 shell 脚本创建 ./tmp/hn-venv 并从 PyPI pip 安装 google-genai 和 pillow。这种方式可追踪(PyPI),不是任意 HTTP 下载,但会将文件写入磁盘并执行第三方包 — 中等风险,应披露。
⚠ 凭证需求
代码检查 GEMINI_API_KEY(环境变量),如果不存在,则读取 ~/.openclaw/openclaw.json 找到 nano-banana-pro.apiKey。这意味着技能可以访问存储的代理/技能配置,并可能访问其他技能的 API 密钥。存储库还包含 mood_image.py,它将使用 OPENAI_API_KEY(主生成脚本未引用) — 多个未声明的凭证路径的存在是不成比例的和惊人的。
ℹ 持久化与权限
技能不强制包含(always: false)并不请求修改其他技能。然而,它读取 ~/.openclaw/openclaw.json,这在运行时将更高权限的配置面暴露给技能 — 这是对代理配置的读取权限提升,应在启用技能时考虑。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/1/14
hn-digest 1.0.1 - 无功能或文档变化,仅版本更新,无文件或内容修改。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install hn-digest
镜像加速npx clawhub@latest install hn-digest --registry https://cn.clawhub-mirror.com
技能文档
命令格式
解释以hn 开头的用户消息作为请求黑客新闻首页摘要。支持形式:
hn→ 默认 5 条帖子hn→ n 条帖子hn <主题>→ 按主题筛选/提升hn→ 同时指定<主题> - 如果用户在已经看到一些帖子后请求“更多”(例如“显示 10–15 条,既然已经显示了 10 条”),将其视为偏移量请求,使用
--offset(例如偏移量 10,计数 10)。
tech(默认)healthhackinglife/lifehacks
输出要求
- 不 发送任何额外的评论/前言/后记。
- 以 单独消息 发送结果。
- 每个帖子消息必须严格为:
<年龄> · <评论数> 评论(年龄格式如 45m ago、6h ago、3d ago)
- 第三行:黑客新闻评论链接(https://news.ycombinator.com/item?id=...)
- 之后发送 一条最终消息,即生成的图像。
- 如果聊天提供商要求非空文本用于媒体,请使用最小标题
.。 - 硬性排除 加密货币相关内容。
程序
- 从用户消息中解析
n和主题。 - 获取和排名项目:
node skills/hn-digest/scripts/hn.mjs --count --offset --主题 <主题> --format json 。
- 默认 offset 为 0,除非用户在之前的批次后明确请求“更多/下一个”。
- 以 N 个单独消息 的所需 3 行格式发送结果。
- 然后生成 令人愉悦的主题图像 通过 Nano Banana,灵感来自刚刚发送的帖子:
skills/hn-digest/scripts/mood_prompt.mjs 从 JSON 项构建提示。
- 添加 3–4 个微妙的复活节彩蛋,源自帖子主题(无文本/标志;保持趣味)。
- 通过运行生成和附加图像:
- skills/hn-digest/scripts/generate_mood_nano_banana.sh ./tmp/hn-mood/hn-mood.png <主题>
- 以 一条额外消息 发送生成的图像。
如果获取/排名失败或返回 0 项:
- 使用 https://news.ycombinator.com/ 在浏览器工具中,根据判断选择 N 个非加密货币项目,并以相同的 3 行格式发送。
- 仍然生成一个主题图像(一般“HN 技术深度探讨”氛围)带有香蕉复活节彩蛋。数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制