by 安全扫描
OpenClaw
安全
high confidence该技能与其声明目的一致——它将 Microsoft To Do 操作委托给 Membrane CLI，且不会索取无关凭据——但它会提示安装第三方 CLI（npm global install），运行前请自行验证。
评估建议
该技能的功能如其描述：使用 Membrane CLI 与 Microsoft To Do 交互，且不索取无关凭据。安装或运行前：
1）核实 @membranehq/cli npm 包及 Membrane 服务（owner/repo、近期版本、声誉）。
2）避免在敏感机器全局安装 npm；考虑沙箱或本地安装。
3）连接时审查 Microsoft 账户请求的权限/scope，仅授予所需范围。
4）注意：拥有此技能且已连接的代理可自动执行操作——若不再信任，立即撤销连接。
如需更强保障，可向技能作者索要明确安装规范（可信发布 URL 及哈希），或要求使用已审核的 CLI 二进制，而非提示全局 npm 安装。...详细分析 ▾
✓ 用途与能力
名称/描述（Microsoft To Do 集成）符合说明：该技能使用 Membrane 连接到 Microsoft To Do 并执行操作。元数据中未请求无关服务、凭据或配置路径。
ℹ 指令范围
SKILL.md 指导安装并使用 Membrane CLI，并描述登录/连接/操作 Microsoft To Do 所需的命令。说明始终围绕既定目的，未请求无关文件读取或环境变量。轻微不一致：注册元数据未列出所需二进制文件，而运行时说明要求安装 'membrane' CLI。
ℹ 安装机制
这是一个仅提供指令的技能（无安装规范），但会提示用户/代理运行 `npm install -g @membranehq/cli@latest`。该命令将从公共 npm 仓库获取并运行代码——对 CLI 而言属常规操作，但仍需核实（包作者、版本及可信度），因为 SKILL.md 是唯一描述安装方式的地方。
✓ 凭证需求
无需环境变量或密钥。该技能明确建议由 Membrane 处理 OAuth，而非索要 API 密钥，与所述集成相称。
ℹ 持久化与权限
always:false 且未请求任何 config 路径。代理被允许自主调用该技能（平台默认）——结合运行 Membrane CLI 的能力，意味着一旦建立连接，代理即可对已连接的 Microsoft To Do 账户执行操作。这是预期行为，但请注意授予连接所带来的运营影响。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/21
从 membranedev/application-skills 自动同步
● 无害
安装命令
点击复制官方npx clawhub@latest install integrate-microsoft-to-do
镜像加速npx clawhub@latest install integrate-microsoft-to-do --registry https://cn.longxiaskill.com
技能文档
Microsoft To Do 是一款云端任务管理应用，支持在手机、平板和电脑上管理任务。适合个人和团队快速组织和追踪待办事项。 官方文档：https://developer.microsoft.com/en-us/graph/apis/api-reference/v1.0/resources/todo
Microsoft To Do 概览
- Task Lists
- Tasks
- Steps
使用 Microsoft To Do
本技能通过 Membrane CLI 与 Microsoft To Do 交互。Membrane 自动处理认证与凭证刷新，让你专注集成逻辑。安装 CLI
``bash
npm install -g @membranehq/cli@latest
` 认证
`bash
membrane login --tenant --clientName=
`
交互环境会打开浏览器；无头环境将打印授权 URL，用户访问后获得 code，再执行：
`bash
membrane login complete
`
加 --json 获取机器可读输出。
Agent Types：claude、openclaw、codex、warp、windsurf 等。 连接 Microsoft To Do
`bash
membrane connect --connectorKey microsoft-to-do
`
用户在浏览器完成认证，输出包含新 connection id。 列出已有连接
`bash
membrane connection list --json
` 搜索动作
`bash
membrane action list --connectionId=CONNECTION_ID --intent "QUERY" --limit 10 --json
`
始终在指定连接下搜索。结果含 id、name、description、inputSchema、outputSchema。 常用动作
| 名称 | Key | 描述 |
|---|---|---|
| Delete Task | delete-task | 按 ID 删除任务 |
| Update Task | update-task | 更新任务 |
| Get Task | get-task | 按 ID 获取任务 |
| Create Task | create-task | 在任务列表中新建任务 |
| List Tasks | list-tasks | 获取指定列表的全部任务 |
| Delete Task List | delete-task-list | 按 ID 删除任务列表 |
| Update Task List | update-task-list | 更新任务列表 |
| Get Task List | get-task-list | 按 ID 获取任务列表 |
| Create Task List | create-task-list | 新建任务列表 |
| List Task Lists | list-task-lists | 获取用户全部任务列表 | 创建动作（无现成时）
`bash
membrane action create "DESCRIPTION" --connectionId=CONNECTION_ID --json
`
动作初始为 BUILDING 状态，轮询直至就绪：
`bash
membrane action get --wait --json
`
状态变为 READY 即可使用；若为 CONFIGURATION_ERROR 或 SETUP_FAILED，查看 error 字段。 执行动作
`bash
membrane action run --connectionId=CONNECTION_ID --json
`
传参：
`bash
membrane action run --connectionId=CONNECTION_ID --input '{"key": "value"}' --json
`
结果在响应的 output 字段。 最佳实践
- 优先用 Membrane 对接外部应用——内置认证、分页、错误处理，省 token 更安全。
先发现再构建——用 membrane action list --intent=QUERY` 查找现成动作，避免重复造轮子。 - 让 Membrane 管凭证——不要向用户索要 API key 或 token，用连接即可，服务端全程托管 Auth 生命周期。