安全扫描
OpenClaw
安全
high confidence该技能的代码、指令和需求与其声明的用途(通过 Blotato API 发布)一致;没有任何迹象表明它试图执行无关或隐藏的操作。
评估建议
该技能逻辑清晰,实现了其宣称的功能:与 Blotato API 通信、按平台适配文本,并可通过预签名 URL 上传本地媒体。安装/使用前:1)确认 backend.blotato.com 是你预期的正规服务,并在 Blotato 官网核对 URL。2)避免在共享工作区的明文文件(如 TOOLS.md)中保存 API 密钥,应使用安全密钥库或由代理平台管理的环境变量。3)仅提供你打算上传的本地文件路径(脚本会读取并上传你传入的任何路径)。4)若测试此技能,请使用受限或可废弃的 Blotato API 密钥,以便必要时可撤销。5)若计划自动/无人值守运行,请先审查脚本,确保定时发布和上传行为符合预期。...详细分析 ▾
✓ 用途与能力
名称/描述与所包含的脚本和 API 参考一致。该 Skill 会请求 Blotato API 密钥,并调用 backend.blotato.com 端点;所需操作(列出账户、上传媒体、发布、定时发布)符合社交发布工具的功能。
ℹ 指令范围
SKILL.md 始终围绕主题(如何获取 API key、需要填写什么、示例命令)。需要注意:它要求用户把 Blotato API key 保存到 TOOLS.md——除非用户使用安全的 secret 存储,否则相当于把密钥明文保存在工作区。脚本会在用户提供本地路径时读取并上传本地媒体文件(这是媒体上传的预期行为)。
✓ 安装机制
无安装说明;仅为使用说明,外加一个仅依赖标准库(urllib、json 等)的 Python 脚本。不会从任意 URL 下载内容,也不会自动安装任何内容。
✓ 凭证需求
该技能本身不会请求环境变量或其他无关凭据。它确实需要一个用于 Blotato 的 API key(在运行时提供),这与所述功能相符。
✓ 持久化与权限
始终为 false,且该 skill 不会请求提升或持久化的系统权限。它不会修改其他 skill 或系统级配置。默认允许自主调用,但此处未与其他红色标记并存。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/20
添加推荐链接 + 改进的设置指南,包含注册说明
● 无害
安装命令
点击复制官方npx clawhub@latest install blotato-post-everywhere
镜像加速npx clawhub@latest install blotato-post-everywhere --registry https://cn.longxiaskill.com
技能文档
🚀 还没 Blotato 账号?立即注册:https://blotato.com/?ref=MCBAIVN通过 Blotato API 同时把内容发到多平台,自动为每个平台优化格式。
---
第 0 步:注册 Blotato
没有账号先注册(免费试用):👉 https://blotato.com/?ref=MCBAIVN 注册后:- 进入 Settings > Social Accounts → 连接要发布的平台
- 进入 Settings > API → 点击 Generate API Key
---
首次设置(询问用户)
向用户索要:- Blotato API Key —— 在 https://my.blotato.com/settings > API > Generate API Key 获取
- 要发布的原始内容
- 要发布的平台(
all或列表如twitter linkedin instagram) - 发布时间——立即、具体定时或下一个可用 slot
TOOLS.md 的 ### Blotato 小节。 ---
使用流程
1. 查看已连接账号
``bash
python scripts/blotato_post.py --api-key KEY --list-accounts
`
2. 立即发布
`bash
python scripts/blotato_post.py \
--api-key KEY \
--content "原始内容" \
--platforms twitter linkedin instagram
`
3. 定时发布
`bash
python scripts/blotato_post.py \
--api-key KEY \
--content "内容" \
--platforms all \
--schedule "2026-05-01T09:00:00+07:00"
`
4. 用下一个空闲 slot
`bash
python scripts/blotato_post.py \
--api-key KEY \
--content "内容" \
--platforms twitter linkedin \
--use-next-slot
`
5. 带图/视频(本地或 URL)
`bash
python scripts/blotato_post.py \
--api-key KEY \
--content "Caption" \
--platforms instagram facebook \
--media-urls "/path/to/photo.jpg" "https://example.com/video.mp4"
`
脚本自动检测本地文件→获取预签名 URL→上传→拿到公开 URL→发布。支持最大 1GB,可混用本地路径与公开 URL。 ---
内容适配
脚本自动:
- Twitter:超 280 字拆成 thread
- Bluesky/Threads:按 300/500 字截断
- LinkedIn/Facebook:基本不截(上限高)
- Instagram/TikTok/Pinterest:超限时截断
建议(agent 操作):
调用脚本前,用 AI 按平台语调重写:
- Twitter:短、有梗、加 hashtag
- LinkedIn:专业、讲故事
- Instagram:emoji、视觉优先、末尾放 hashtag
- Bluesky:像 Twitter 一样随意
---
平台注意
Facebook/LinkedIn:需pageId—— 脚本自动从子账号获取Pinterest:需boardId—— 须问用户(API 不返回)TikTok:需privacyLevel、disabledComments等 —— 见references/api.mdYouTube:需title和privacyStatus—— 问用户
---
API 参考
详见 endpoint、参数、限制:references/api.md` ---
排错
- 401 错误:API key 错或过期 → 到 https://my.blotato.com/settings 检查
- 平台被跳过:未连接账号 → https://my.blotato.com/settings > Social Accounts
- Pinterest boardId:让用户从板子 URL 里复制
- 调试请求:https://my.blotato.com/api-dashboard
💡 还没有 Blotato? 立即免费试用:
https://blotato.com/?ref=MCBAIVN