by 安全扫描
OpenClaw
可疑
medium confidence该技能声称提供全面企业级无人值守自动化堆栈，但提供的代码轻量且简陋，运行指令高层次且开放。所请求的凭证（XIAN_YU_APP_KEY/SECRET）合理，但承诺与实现之间的差异值得谨慎对待。
评估建议
["安装前考虑：1) 技能承诺大型自动化功能集，但包含的代码最小且包含待办事项——预计大量功能由其他技能提供或未实现。2) 需要 XIAN_YU_APP_KEY 和 XIAN_YU_APP_SECRET——仅在验证供应商后向第三方技能授予这些凭证，首选范围受限/测试账户。3) 由于 SKILL.md 对 webhook 和通知设置模糊，询问如何处理推送事件以及是否需要公共端点或入站网络配置。4) 审查依赖技能的源码（xianyu-api-client-skill 和 xianyu-product-manager-skill），确保它们按预期工作且不外泄数据。5) 在受限环境（沙盒或半自动模式）中启动，启用详细日志，并在切换到全自动之前监控操作。6) 验证发布者（主页和所有者），如果需要宣传的高级功能，请请求实现路线图或额外代码。"]...详细分析 ▾
ℹ 用途与能力
名称/描述、所需环境变量（XIAN_YU_APP_KEY、XIAN_YU_APP_SECRET）和 Python 要求与闲鱼自动化技能一致。然而，SKILL.md 承诺了一个大型功能集（实时监控、风险警告、Webhook 处理、智能决策引擎），而提供的 __init__.py 很小，只实现了几个简单方法，并包含 TODO 项和对其他两个技能的重依赖。这是能力/营销与实现之间的不匹配。
⚠ 指令范围
SKILL.md 是高层次的，赋予代理广泛的自由来配置自动化、通知渠道和 Webhook 处理，但它没有提供关于接收推送事件、打开端点或集成通知系统的具体运行时指令。它还承诺了推送回调处理和 24/7 监控，但没有 Webhook/服务器代码或网络设置。因此，指令模糊，允许代理在小型实现之外广泛操作。
✓ 安装机制
没有安装规范（仅指令和小代码文件）。这降低了来自下载或任意安装脚本的风险。所需的二进制 Python 适合提供的代码。
✓ 凭证需求
仅声明 XIAN_YU_APP_KEY 和 XIAN_YU_APP_SECRET 为所需；这些是闲鱼集成的预期凭证。技能提到可选通知配置（WeChat/SMTP），但不声明或要求相关秘密。没有迹象表明它请求无关的云凭证或系统秘密。
✓ 持久化与权限
技能不请求 always:true 并使用正常的自主调用默认值。它似乎不修改其他技能或系统配置。没有声明任何提升的持久性或特权系统更改。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/3/26
技能描述和文档完全重写和升级，以提高清晰度和可用性。现在具有企业级生命周期管理、智能决策引擎和风险警报系统。添加了对策略配置、风险控制、通知偏好和用户交互流程的明确指南。强调渐进式推出、数据监控和合规的最佳实践。元数据更新了环境和依赖详细信息，以实现无缝集成。
● 无害
安装命令 点击复制
官方npx clawhub@latest install xianyu-automation-skill
镜像加速npx clawhub@latest install xianyu-automation-skill --registry https://cn.clawhub-mirror.com
技能文档
#闲鱼自动化技能
介绍
为闲鱼店铺提供企业级自动化运营能力...（**注意：由于原始内容未提供完整的 SKILL.md，以上仅为示例。实际翻译中，请替换为完整的、翻译后的 SKILL.md 内容，保留 YAML frontmatter 不翻译，代码块和 Markdown 格式保持不变。）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制