by 安全扫描
OpenClaw
可疑
medium confidenceSKILL.md 描述了一个合法的 X/Twitter 命令行工具，但注册元数据省略了必需的凭证/安装步骤，说明暗示访问浏览器 Cookie 存储和外部安装 — 这些不一致需要在信任它之前澄清。
评估建议
["安装或运行此技能前：","1. 将 X_AUTH_TOKEN / CT0 视为全账户凭证 — 不要为主账户提供它们，除非检查了代码。","2. 向发布者请求公共源代码仓库，并在 npm/GitHub 上验证 @humebio/hume-x 包；检查安装脚本和读/写的文件。","3. 确认将读取哪些浏览器 Cookie 文件/路径（以及是否解密 OS 保护存储）。","4. 如果想要尝试，建议使用一次性/测试 X 账户，或者在隔离容器中运行 npm 包。","5. 请求修正注册元数据，以声明必需的环境变量、配置路径和明确的安装规范（或从 SKILL.md 中删除安装命令）。"]...详细分析 ▾
ℹ 用途与能力
技能名称/描述（使用 Cookie 认证的 X/Twitter CLI）与 SKILL.md 中的命令和功能匹配。然而，注册元数据声称没有必需的环境变量/配置路径，而 SKILL.md 明确记录了 X_AUTH_TOKEN/X_CT0、一个配置文件（~/.config/hume-x/config.json）和浏览器 Cookie 使用。这种不匹配是无解释的。
⚠ 指令范围
SKILL.md 指示使用环境变量、一个本地配置文件和读取浏览器 Cookie（Firefox/Chrome）来获取凭证，以及从 x.com 自动抓取查询 ID。这些操作涉及读取其他应用的 Cookie 存储和本地配置文件，但技能没有声明这些文件访问。这种广泛的本地数据访问在注册中没有完全记录，并可能暴露敏感账户令牌。
ℹ 安装机制
注册没有列出安装规范，但 SKILL.md 包括推荐 'npm install -g @humebio/hume-x' 的元数据，并提到 curl-impersonate。平台扫描显示没有安装脚本；建议的 npm 包和第三方二进制的存在是一个需要调解的不一致，包源应被验证。
⚠ 凭证需求
SKILL.md 需要/接受强大的秘密（X_AUTH_TOKEN 和 X_CT0 / AUTH_TOKEN 和 CT0），并可以从浏览器 Cookie 或配置文件中提取凭证，但注册没有声明必需的环境变量或主凭证。这些令牌可以完全控制账户；请求它们（和浏览器存储的文件访问）应明确声明和证明。
✓ 持久化与权限
技能是用户可调用且未标记 always:true。没有声明持久的平台级权限或修改其他技能/配置。根据注册标志，持久性/权限看起来正常。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/5
初始发布 — 为 OpenClaw 代理提供完整的 X/Twitter 命令行工具技能
● 可疑
安装命令 点击复制
官方npx clawhub@latest install hume-x
镜像加速npx clawhub@latest install hume-x --registry https://cn.clawhub-mirror.com
技能文档
快速 X/Twitter 命令行工具，使用 GraphQL + Cookie 认证。完全覆盖 API 功能，包括推文、时间线、搜索、互动、列表、趋势、通知、收藏、喜欢和安排推文等。... （以下为原文未翻译部分，保留技术术语和 Markdown 格式）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制