安全扫描
OpenClaw
可疑
medium confidence技能的代码基本符合其声明的用途(爬取AI平台、评分可见性、飞书推送),但存在内部不一致性和一些值得关注的问题(未文档化的 Tavily API 密钥和包含的 API 服务),建议在安装前进行额外审查。
评估建议
安装前需检查事项:- 注意此包包含可执行的 Python 脚本(Playwright 爬虫、分析器、配额管理和 Flask API),不仅仅是文档。您需要安装 Playwright 和其他 Python 依赖。- 检查 api/geo_api.py:其中包含一个看起来像硬编码的 TAVILY_API_KEY 默认值,并提供了一个 Flask /search 端点用于转发查询到 Tavily。请向维护者确认该密钥是什么,以及 API 服务器应该在本地运行还是公开暴露。除非您信任代码和密钥处理,否则不要公开运行 API 服务器。- 确认飞书 webhook 配置:如果您提供飞书 webhook,技能会将完整报告内容发布到该端点(确保 webhook 发送到您控制的群组)。- 审计凭证和密钥:优先在您控制的环境变量中设置 GEO_API_KEY 和任何 AI/第三方令牌。在部署前从代码中移除硬编码的密钥。- 首先在隔离环境中运行(例如容器或 VM),因为爬虫会向多个第三方 AI 站点发出网络请求,并会保存文件(配额文件和 /tmp 报告)。- 如果您不打算使用包含的 API 服务,避免运行 ...详细分析 ▾
ℹ 用途与能力
名称/描述(跨AI平台的品牌可见性监控 + 飞书推送)与脚本功能一致:基于 Playwright 的爬虫、评分、分析、配额管理和飞书推送。但该包还包含一个可选的 Flask API 服务(api/geo_api.py)以及对 Tavily 代理 API 架构的引用——这些未在顶级 SKILL.md 使用步骤中描述(仅显示运行 scripts/geo_report.py)。API 服务器的存在以及 API 代码中看起来像硬编码的 TAVILY_API_KEY 未在 README/SKILL.md 中完全解释。
ℹ 指令范围
SKILL.md 指导运行 python 脚本并可选设置 GEO_API_KEY/GEO_QUOTA_FILE;这与脚本一致。运行时行为包括无头浏览器抓取第三方 AI 站点、保存配额文件和 /tmp 报告,以及将报告内容发布到外部端点(飞书 webhook 和可选的 Tavily/其他 AI 端点)。这些网络交互与声明的用途一致,但 SKILL.md 未提及包含的 Flask API(api/geo_api.py),该 API 暴露了一个转发到 Tavily 的 /search 端点——这一遗漏扩展了技能超出文档化使用的运行时表面。
ℹ 安装机制
没有安装规范(仅说明),风险较低,但该包包含多个 Python 脚本和一个带有 api/requirements.txt(flask/requests/gunicorn)的 api 目录。SKILL.md 确实提到了 Playwright 以及如何安装它。因为存在代码文件,用户必须在运行前安装 Python 依赖(包括 playwright);该仓库不提供自动化安装程序,但包含了典型的依赖提示。
⚠ 凭证需求
SKILL.md 记录了可选的 GEO_API_KEY(用于解锁专业功能)和 GEO_QUOTA_FILE。然而 api/geo_api.py 读取 TAVILY_API_KEY 环境变量,还包含一个看起来像硬编码的 TAVILY_API_KEY 默认值。该密钥未在 SKILL.md 中记录。向配置的飞书 webhook 发布完整报告的能力是该技能的预期功能,但在代码中存储/使用 Tavily 密钥并暴露一个将查询代理到 Tavily 的 API 端点是一个凭证/凭证使用不一致和隐私问题。
✓ 持久化与权限
该技能不请求提升的平台权限且 always:false。它写入本地配额文件(可通过 GEO_QUOTA_FILE 配置)并将报告保存到 /tmp——这是预期行为。它不会修改其他技能或系统范围的代理设置。包含的 API 组件可能会被意外运行并在用户启动时暴露网络服务;这是部署/配置选择,而不是自动权限提升。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.22026/4/16
geo-master 1.0.2 - 新增 api/ 目录,包括 geo_api.py、test_api.py、__init__.py 和 requirements.txt,初步引入API能力 - SKILL.md:明确区分免费版/专业版/企业版,专业版核心引入 Tavily 搜索API,可支持全部9个平台的实时检测 - 增加 GEO_API_KEY 环境变量说明,为专业版API接入做准备 - 文档结构和定价说明优化,突出 Tavily API 的实时搜索优势 - 细化版本开发历程,标记 v1.0.2 为 Tavily API 架构引入步骤
● 可疑
安装命令
点击复制官方npx clawhub@latest install geo-master
镜像加速npx clawhub@latest install geo-master --registry https://cn.longxiaskill.com
技能文档
检测品牌在AI搜索平台中的可见性,生成评分与优化建议。
版本与定价
| 版本 | 价格 | 品牌限制 | 平台数量 | 技术方案 |
|---|---|---|---|---|
| 免费版 | ¥0/月 | 1个/月 | 3个平台 | 本地Playwright |
| 专业版 | ¥99/月 | 无限 | 全部9个平台 | 🌐 Tavily API(实时搜索覆盖) |
| 企业版 | ¥399/月 | 无限 | 全部9个+深度分析 | 专属客服 |
免费版限制
- 每月最多检测 1个品牌
- 每月最多使用 3个AI平台(Kimi、讯飞星火、文心一言)
- 每月1日自动重置配额
专业版核心优势(🌐 Tavily实时搜索)
专业版用户通过Tavily搜索API获取AI平台的实时搜索结果:
- ✅ 全部9个AI平台(DeepSeek/千问/豆包/秘塔/混元等)
- ✅ 覆盖AI的实时搜索推荐(非训练数据)
- ✅ 我们服务器中转,无需本地环境
- ✅ 稳定高效,不封IP
申请专业版后,请在 https://yk-global.com 获取API密钥,配置后自动启用。
支持的AI平台
| 平台 | 免费版 | 专业版 | 技术方案 |
|---|---|---|---|
| Kimi | ✅ | ✅ | Playwright直接抓取 |
| 讯飞星火 | ✅ | ✅ | Playwright直接抓取 |
| 文心一言 | ✅ | ✅ | Playwright直接抓取 |
| 智谱 | ❌ | ✅ | Playwright直接抓取 |
| DeepSeek | ❌ | ✅ | 🌐 Tavily API实时搜索 |
| 通义千问 | ❌ | ✅ | 🌐 Tavily API实时搜索 |
| 豆包 | ❌ | ✅ | 🌐 Tavily API实时搜索 |
| 秘塔 | ❌ | ✅ | 🌐 Tavily API实时搜索 |
| 混元 | ❌ | ✅ | 🌐 Tavily API实时搜索 |
快速使用
# 检测单个品牌 python3 scripts/geo_report.py "品牌名"# 检测多个品牌(含竞品) python3 scripts/geo_report.py "品牌A" "品牌B"
# 不推送飞书(调试用) python3 scripts/geo_report.py "品牌名" --no-push
# 查看配额状态 python3 scripts/geo_report.py --status
# 升级到专业版/企业版 python3 scripts/geo_report.py --upgrade-pro python3 scripts/geo_report.py --upgrade-ent
评分说明
| 评分 | 等级 | 说明 |
|---|---|---|
| 80-100 | 🟢 优秀 | AI主动推荐,品牌强曝光 |
| 60-79 | 🟡 良好 | 被部分AI平台提及 |
| 30-59 | 🟠 一般 | 零星提及,需优化 |
| 0-29 | 🔴 薄弱 | 完全不可见 |
配置文件
配置文件位于 config.json:
{
"platforms": {
"kimi": {"enabled": true, "weight": 1.0},
"xinhuo": {"enabled": true, "weight": 0.9},
"yiyan": {"enabled": true, "weight": 0.9},
"zhipu": {"enabled": true, "weight": 0.8},
"deepseek": {"enabled": false},
"qianwen": {"enabled": false},
"doubao": {"enabled": false},
"mita": {"enabled": false},
"hunyuan": {"enabled": false},
"xunfei": {"enabled": false}
},
"report": {
"push_to_feishu": true,
"feishu_webhook": "填入您的飞书群机器人地址"
}
}
飞书Webhook获取方式:飞书群设置 → 添加机器人 → 自定义机器人 → 复制Webhook地址。
环境变量(可选)
| 变量 | 默认值 | 说明 |
|---|---|---|
GEO_QUOTA_FILE | .geo_quota.json | 配额文件路径(建议默认) |
GEO_API_KEY | (空) | 专业版API密钥(购买后在 yk-global.com 获取) |
export GEO_QUOTA_FILE=/your/custom/path/.geo_quota.json
AI分析功能
GEO AI原因分析默认使用本地分析框架。如需接入外部AI(如MiniMax),请编辑 scripts/geo_analyzer.py,找到 AI_ENDPOINT 字段填入您的AI接口地址。
开发进度
- [x] Phase 0: 技术验证(2026-04-15)
- [x] Phase 1: MVP开发
- [x] Phase 2: 手工验证测试(2026-04-16 简单刀完成)
- [x] Phase 3: 代码完善
- [x] Phase 4: ClawHub上架(v1.0.0)
- [x] Phase 4 Update: 安全扫描修复(v1.0.1)
- [x] Phase 5: 专业版Tavily API架构(v1.0.2)