by 安全扫描
OpenClaw
可疑
medium confidence技能总体目的（基于知识图谱生成学习内容）合理，但包内脚本会实时在线检索并依赖通知/第三方服务，清单未声明所需依赖或通知凭据，存在不一致与可疑点，建议在安装前解决差异并确认外部网络/凭据风险。
评估建议
这是一个合理的学习内容生成器，但安装/运行前请注意：
- 依赖与安装：脚本使用 wikipediaapi、arxiv、yaml 等第三方 Python 库，但缺少包清单/安装说明。请在受控环境中安装依赖并审查这些库的来源（pip 包名、版本）。
- 网络访问与数据外发：rag_content_enhancer 会实时检索 Wikipedia 和 arXiv。请确认允许该技能访问互联网，并了解会发送哪些学习内容/上下文到外部站点。如数据含敏感信息（机构内部知识图谱），请勿在未经授权的环境中启用 RAG 检索。
- 通知与凭据：SKILL.md/README 提到会发送飞书进度通知，但技能声明未要求任何 Feishu webhook/API_KEY 环境变量。如需通知，请要求作者明确配置方式（所需 env var 及格式），并避免将 webhook/密钥硬编码入仓库。
- 合规声明与源优先级：README 强调“国内合规”并优先使用国家/教育站点，但脚本实际以 Wikipedia/arXiv 为权威检索源。请确认符合你的合规要求；若需强制仅使用 gov.cn / edu.cn 等站点，应要...详细分析 ▾
ℹ 用途与能力
技能名称与描述需与代码一致：基于知识图谱生成长文本学习内容并生成测验题，支持分片与层级感知，且 scripts/generate_content.py 功能与 README 描述相符。该能力合理，需 RAG 式实时检索以增强引用，功能上可理解。
⚠ 指令范围
SKILL.md 与 README 指示会读取知识图谱、写入 /tmp 中间文件、并“每步完成后发送飞书进度通知”。然而代码片段中看不到 Feishu 通知的凭证或实现（当前脚本主要打印并做在线检索），且 README 要求的搜索优先规则与脚本的 RAG 实现（wikipediaapi、arxiv）不完全一致：脚本会访问 Wikipedia 和 ArXiv（外部 HTTP 调用），但 SKILL.md/README 强调以中国官方站点为优先并禁止使用部分外部来源。SKILL.md 没有声明所需的网络访问策略或任何 webhook/API key，但行为会尝试联网检索，存在范围与实现不一致。
⚠ 安装机制
技能为 instruction-only（无安装规范），但包含引用第三方库（wikipediaapi、arxiv、yaml 等）的 Python 脚本。未声明依赖或提供安装步骤；运行这些脚本需在执行环境额外安装 Python 包，且 RAG 模块会发起外部 HTTP 请求。缺少明确依赖清单/安全来源（如 pip requirements 或可信发布地址）增加了运行时未知风险。
⚠ 凭证需求
注册元数据显示“无所需环境变量”，但 README/SKILL.md 要求发送飞书进度通知，并调用多个在线 TTS/API（百度、讯飞、Azure、gTTS）。飞书通知和在线 TTS/语音服务通常需 webhook 或 API key，而 requires.env 中未声明。脚本还会访问外部网站（Wikipedia/arXiv），运行需网络权限。总结：声明的环境需求与实际不符，可能导致凭据/密钥被临时写入或硬编码，存在风险。
✓ 持久化与权限
技能未设置 always: true，未请求修改其他技能或系统范围配置。它在 /tmp 写入中间文件并生成输出文件，属常见行为，无提权或长期驻留迹象。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv2.3.02026/4/21
learning-content-generator v2.3.0 - 新增层级感知与上下文感知内容生成，支持L1/L2/L3层次内容差异化 - 每知识节点生成个性化学习内容（约3000–5000字）及3–5道随堂自测题 - 强化来源标注机制，明确区分权威、参考与推断内容 - 支持与 learning-path-builder 协作，接受完整知识图谱和节点ID作为输入 - 增加国内合规要求，优先引用国家标准和官方文档，境外内容需标注 - 优化输出格式及自动长文本分片处理
● 无害
安装命令
点击复制官方npx clawhub@latest install learning-content-generator
镜像加速npx clawhub@latest install learning-content-generator --registry https://cn.longxiaskill.com