by 安全扫描
OpenClaw
可疑
high confidence该技能的代码与运行时指令大体符合其开票用途，但在所需工具、凭证及外部端点方面存在明显不一致，需在用于真实发票前予以解决。
评估建议
该技能看似实现了其宣传的 OCR 发票识别、重复检测与报表生成功能，但在安装或用于真实数据前，请先解决以下关键不一致问题：
1) 它会调用外部 CLI（miaoda-studio-cli）及 API（Feishu、国税网站），但技能元数据未声明所需二进制文件或任何 token 环境变量——请向供应商确认 token/应用凭据如何提供与存储。
2) 高级功能将把发票字段传输至外部服务（Feishu、税务验证接口）；务必确认具体传输内容、目的地及数据是否被留存。
3) 文档提到抓取政府网站并处理验证码——方案可能脆弱且违反服务条款；请明确推荐路径（官方 API 还是抓取）。
4) 更新日志中嵌有 IP 及购买链接——请核验供应商身份与托管方，确保技能不会回连未知服务器。
5) 在信任其处理敏感发票前，请在隔离环境运行脚本、审查所有网络请求（或加以监控），并要求供应商显式声明所需二进制与安全密钥管理方案。若无法获得满意答复或清晰的安全部署指南，请将高级功能（税务核验/Feishu 集成）视为高风险，避免上传生产环境敏感发票。...详细分析 ▾
⚠ 用途与能力
名称/描述（InvoiceGuard：OCR、重复检测、税务核验、Feishu 报告）与所含脚本一致，但 SKILL.md 及相关文件默认使用外部 CLI/API（miaoda-studio-cli、feishu_create_doc、feishu_bitable_app、national tax check），却未声明所需二进制文件或凭据。该技能未声明任何必需的环境变量或二进制文件，尽管 Pro 功能需要 Feishu app token 和税务开发者凭据，存在不一致。
⚠ 指令范围
运行时指令要求智能体运行外部 CLI 命令（miaoda-studio-cli image-understanding、doc-parse），并调用 Feishu API 工具及国税查验接口（包括向 inv-veri.chinatax.gov.cn 发起 POST 请求及验证码处理）。这些指令会将提取的发票字段发送至外部服务。该技能声明“不存储原始发票数据”，但指令却调用会接收发票数据的外部端点（Feishu、税务网站）——这是未在技能声明需求中记录的带外数据流。
ℹ 安装机制
无安装规范（仅指令），风险较低，但包内含三个非平凡脚本，安装后会在磁盘留存。清单中无混淆二进制文件或下载项。更新日志提到外部部署服务器 IP（124.220.60.10）及厂商 URL（YK-Global.com）——属信息性内容，但嵌入更新日志较为罕见；非安装时下载，仍值得质疑。
⚠ 凭证需求
该技能在元数据中未声明任何环境变量或凭据，但 SKILL.md 和脚本却要求 Feishu app_token 及“企业开发者账号”用于国税查验。这种不一致会导致问题：技能执行 Pro 功能时必须使用机密（Feishu app_token，可能还有税务/第三方服务的 API key），却无任何声明。技能还指示抓取国税网站（需验证码），这意味着需要网络访问，甚至可能涉及未在需求中体现的带权访问。
✓ 持久化与权限
always:false 且未表现出修改其他技能或代理级配置的明显意图。该技能确实包含可运行的脚本，但不存在“always”或自我启用行为。manifest 未请求提升的持久权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
- 以新名称“Invoice Compliance”（Invoice Compliance · 发票合规管家）首次发布 - 提供 AI 驱动的发票重复检测、真伪校验与合规报告生成 - 支持多格式发票识别：图片（OCR）、PDF、OFD、XML - 内置提取关键发票字段、AI 查重、税局官方验真（Pro）、生成合规报告（Pro）的工作流 - 与 Feishu 集成，实现报告/文档生成及结构化发票管理（Pro） - 提供批量处理功能，免费版与 Pro 版在功能及使用额度上区分清晰
● 无害
安装命令
点击复制官方npx clawhub@latest install invoice-compliance
镜像加速npx clawhub@latest install invoice-compliance --registry https://cn.longxiaskill.com