by 安全扫描
OpenClaw
可疑
medium confidence该技能的说明要求代理安装和运行第三方CLI，并请求和存储API key，但注册元数据省略了这些要求，说明还要求助手收集秘密——这些不一致和秘密收集说明与技能声明的表面不成比例。
评估建议
此技能要求代理安装并运行第三方 npm CLI，并请求并保存 dlazy API 密钥，但注册元数据未声明这些要求。在安装或使用前：（1）确认你信任发布者和 dlazy.com；（2）检查 @dlazy/cli 包源码（或避免全局 npm 安装）以确保其不会泄露数据；（3）切勿在聊天中粘贴 API 密钥——应本地设置凭据（例如在安全终端自行运行 `dlazy auth set <key>`）或通过安全环境变量提供，并验证 CLI 如何/在何处存储令牌；（4）优先选择预先声明所需二进制文件和认证的技能。若继续，避免直接向助手提供机密，并先验证 npm 包。...详细分析 ▾
ℹ 用途与能力
所声明的用途（通过 ffmpeg 进行场景分割）对“video-scenes”技能而言是合理的，但 SKILL.md 还提到了场景级视频理解和 dlazy CLI。顶层注册字段未列出任何二进制文件、环境变量或安装步骤，而 SKILL.md 的元数据却要求 npm/npx 并执行 npm install @dlazy/cli@1.0.5——这一不匹配既出乎意料，也未作解释。
⚠ 指令范围
运行时指令要求 agent 运行外部 'dlazy' CLI，并附带显式行为：向用户索取 API 密钥，并通过 `dlazy auth set <key>` 保存。这导致 agent 需索要并持久化密钥，还能执行任意 CLI 命令——范围已超出单纯调用 ffmpeg 或拆分本地视频。SKILL.md 也存在矛盾，部分地方称“无需理解视频内容”，别处却提到“场景级理解”。
ℹ 安装机制
注册表中没有顶层安装规范，但 SKILL.md 元数据推荐 `npm install -g @dlazy/cli@1.0.5` 并要求 npm/npx。安装第三方 npm CLI 属于中等风险行为（公共注册表、可追踪），但该安装要求未在技能元数据层面声明——这一不一致需在信任自动安装前解决。
⚠ 凭证需求
指令明确要求 agent 向用户获取并存储 dlazy API key，但该 skill 未声明任何必需的环境变量或主凭证。在未声明认证模型的情况下，要求助手向用户索取并存储密钥属于过度行为，且会提高密钥意外泄露的风险。
ℹ 持久化与权限
该 skill 未设置 always:true，也未声明提升的平台权限；但它指示 agent 通过 `dlazy auth set <key>` 持久化凭据（会将认证信息写入磁盘或 CLI 配置）。对基于 CLI 的 skill 来说，持久化自身 token 是合理的，但由于此行为未在 registry 元数据中声明且涉及写入机密，需谨慎对待。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/22
dlazy-video-scenes 的初始版本。 - 场景分割工具，使用 ffmpeg 检测和将视频分割为场景片段。 - 返回场景片段 URL，不执行视频内容理解。 - 支持多种输入和输出选项的命令行接口（CLI）。 - 结构化的 JSON 输出，便于集成。 - 全面的错误处理和用户指南，用于身份验证和余额问题。
● 无害
安装命令
点击复制官方npx clawhub@latest install dlazy-video-scenes
镜像加速npx clawhub@latest install dlazy-video-scenes --registry https://cn.longxiaskill.com 镜像可用
技能文档
场景分割工具：使用 ffmpeg 检测和分割视频为场景剪辑，只返回剪辑 URL，不包含视频内容理解。
触发关键词
- video-scenes
用法
代理人关键指令：执行dlazy video-scenes 获取结果。
dlazy video-scenes -h
选项：
--video 视频（URL）[视频：URL 或本地路径]
--durationSeconds 持续时间（秒）
--input JSON有效载荷：内联字符串，@文件或 - （标准输入）
--dry-run 打印有效载荷 + 成本估算而不调用 API
--no-wait 返回 generateId 立即用于异步任务
--timeout 异步完成的最大等待秒数（默认： "1800"）
-h, --help 显示命令帮助
输出格式
{
"ok": true,
"kind": "text",
"data": {
"text": "..."
}
}
示例
dlazy video-scenes --prompt '提示内容'
错误处理
| 代码 | 错误类型 | 示例消息 | | ---- | ---------------------------------- | ------------------------------------------------------------------------------------------------------------------------ | | 401 | 未授权（无 API 密钥） |ok: false, code: "unauthorized", message: "API 密钥缺失或无效" |
| 501 | 缺少必需参数 | error: 必需选项 '--prompt ' 未指定 |
| 502 | 本地文件读取错误 | Error: 图像文件/视频文件未找到: C:\path\to\your\file |
| 503 | API 请求失败（无余额） | ok: false, code: "insufficient_balance" |
| 503 | API 请求失败（服务器错误） | HTTP 状态代码错误（500 服务器崩溃） |
| 504 | 异步任务执行失败 | === 生成失败 === / {后端返回的具体错误原因，例如 "提示违反安全策略"} |
代理人关键指令：
1. 如果执行结果返回code: "insufficient_balance"，您必须明确告知用户其信用额度不足，并指导他们充值：https://dlazy.com/dashboard/organization/settings?tab=credits
2. 如果执行结果返回code: "unauthorized"或指示缺少 API 密钥，您必须告知用户从 https://dlazy.com/dashboard/organization/api-key 获取其 API 密钥并将其发送给您。一旦他们提供，您可以使用dlazy auth set保存它并继续任务。