by 安全扫描
OpenClaw
可疑
high confidence该技能在基于 CLI 的图像生成器方面大体连贯，却指示代理让用户在聊天中粘贴 API key 并用 CLI 保存，而未声明该凭据或其存储方式——存在不一致和隐私风险。
评估建议
此技能似乎是对 dlazy CLI 的封装，整体逻辑通顺，但它要求用户将 dlazy API key 粘贴到聊天中，然后让 agent 用 `dlazy auth set <key>` 保存。安装前请注意：
1) 除非理解并接受风险，否则不要把密钥粘贴到聊天；优先使用平台托管的密钥存储（环境变量或 secret manager）。
2) 全局安装前，先核实 npm 包 '@dlazy/cli' 的发布者、下载量、仓库及近期活跃度。
3) 要求技能作者在 requires.env 中声明 API key，或使用平台密钥注入，并明确 `dlazy auth set` 将凭据存于何处。
4) 若必须继续，避免在聊天中提交 API key；请在本地自行配置 CLI，或通过安全通道提供密钥。
以上步骤可降低 API key 或其他本地密钥被意外泄露或保存在未知位置的风险。...详细分析 ▾
⚠ 用途与能力
名称/描述与 dlazy CLI 图像生成器及声明的必需二进制文件（npm、npx）以及嵌入的安装命令（npm install -g @dlazy/cli@1.0.5）一致。然而，该 SKILL 未声明任何必需的 API key 或主要凭证，尽管运行时指令明确需要 dlazy API key（未授权处理及“dlazy auth set <key>”）。凭证声明缺失构成不一致。
⚠ 指令范围
SKILL.md 指示 agent 运行本地 dlazy CLI 命令（dlazy <model> -h，然后执行）。关键之处在于它要求 agent 让用户去 dlazy.com 获取 API key 并“发给你”，接着运行 'dlazy auth set <key>' 保存并继续。让用户在聊天中粘贴密钥并通过 CLI 保存，超出了 manifest 范围（未声明 env 或 config 路径），存在数据外泄/隐私风险。运行任意 CLI 子命令是该 skill 的预期行为，但密钥处理步骤有问题。
ℹ 安装机制
注册表元数据中并无正式安装规范，但 SKILL.md 元数据包含安装字符串“npm install -g @dlazy/cli@1.0.5”。通过公共 registry 全局安装 npm 是提供 dlazy CLI 的合理方式，风险中等（公共 npm 包）。这并非从任意 URL 下载的模式，但安装步骤嵌入文档而非正式安装规范——需注意此不一致。
⚠ 凭证需求
该 skill 未在 requires.env 中声明任何必需的环境变量或主凭证，但错误处理与提示却明确提到 dlazy API key，并要求用户通过聊天提供，以便 agent 执行 `dlazy auth set <key>`。未声明却强制索要密钥，且未说明如何安全处理，既过度又不清晰。
⚠ 持久化与权限
always:false（良好），但该 SKILL 指示 agent 运行 'dlazy auth set <key>'，这会将凭据持久化到 CLI 的 config 中。manifest 未声明任何 config 路径，也未说明凭据存储位置。在未声明位置/方式的情况下持久化用户机密，属于权限与可见性风险。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
dlazy-image-generate 技能首次发布。 - 根据提示自动选择最优 dlazy CLI 图像模型。 - 支持多种风格：realism、sketch、general text-to-image、minimalist、stylized illustration、SVG/vector、Midjourney 及高保真模型。 - 含详细错误处理，引导用户解决授权与余额问题。 - 需通过 npm 安装（`@dlazy/cli@1.0.5`）。 - 提供使用说明及各模型专属触发关键词。
● 无害
安装命令
点击复制官方npx clawhub@latest install dlazy-image-generate
镜像加速npx clawhub@latest install dlazy-image-generate --registry https://cn.longxiaskill.com