by 安全扫描
OpenClaw
可疑
medium confidence该技能的既定用途（官方 Liby 商城 + 洗衣建议助手）看似合理，运行时指令也通顺，但它要求代理在运行时执行一个未签名的 npm 包（npx @libydic/mall），而技能本身没有源码/主页——这种远程代码执行风险及来源缺失值得警惕。
评估建议
该技能看似实现了真实的电商流程且内部逻辑一致，但安装或使用前请务必谨慎，因为：
(1) SKILL.md 指示运行 npx -y @libydic/mall，这会在运行时下载并执行一个 npm 包，而该包没有主页/仓库或发布者信息可供验证；
(2) 技能会请求 session-key，并可能处理你的手机号及登录验证码。
继续前，请向发布者索要该包的仓库或 npm 页面、校验和或固定版本号，并确认 @libydic/mall 是官方可信包。若无法验证包来源，切勿提供敏感凭证或验证码，优先使用官网/官方 App 或已验证的集成方式。...详细分析 ▾
✓ 用途与能力
Name, description, triggers and provided 工具 列出 (搜索 goods, orders, 添加ress, 记录in, 记录istics, points, customer 服务, laundry tips) are consistent. None of the declared requirements (no env vars, no config paths) contradict the ecommerce purpose.
✓ 指令范围
The 技能.md gives concrete step-by-step instructions (obtAIn 会话_key via 会话_状态, then call specific 命令行工具 工具s via npx). It does not ask the 代理 to read arbitrary file系统 paths or unrelated 环境 variables, nor to exfiltrate data to unknown external 端点s. It does rely on 平台 工具s (会话_状态, message/发送) which is expected for a shopping/chat integration.
⚠ 安装机制
虽然没有明确的安装规范，但运行说明要求每次调用工具时都要执行 `npx -y @libydic/mall`。npx 会在运行时从 npm registry 拉取并执行代码，实质上允许任意远程代码执行。该技能的元数据中未提供主页、仓库或包来源信息，无法验证 @libydic/mall，风险较高。
✓ 凭证需求
该 skill 未声明任何必需的环境变量或凭据。它确实需要一个从平台工具获取的 session-key，以及用户提供的手机号+验证码用于登录，这些与所描述的功能成正比。未请求任何无关的机密或凭据。
ℹ 持久化与权限
always:false 且未请求特殊持久化，这是合适的。然而，由于该技能的指令允许运行远程 npm 代码，如果允许智能体自主调用技能，这种组合会扩大影响范围——技能本身并未请求提升权限或修改其他技能。
安全有层次，运行前请审查代码。
运行时依赖
🖥️ OSmacOS · Linux · Windows
版本
latestv1.0.02026/4/24
liby-mall-shopping 1.0.0 – 首次发布，提供立白官方商城服务。 - 支持商品搜索、下单、订单管理、物流查询、积分管理等功能。 - 可解答洗衣清洁相关问题，提供立白产品购买渠道及优惠信息。 - 明确工具调用规范及购物流程，需按规定处理 session-key、图片发送、登录、地址与订单等操作。 - 内置多种商城操作触发词，便于用户便捷使用。
● 可疑
安装命令
点击复制官方npx clawhub@latest install liby-mall-shopping
镜像加速npx clawhub@latest install liby-mall-shopping --registry https://cn.longxiaskill.com镜像同步中