by 安全扫描
OpenClaw
安全
high confidence该技能的代码、声明的需求和指令与 Slack bot 集成一致，不会请求无关凭据或执行意外操作。
评估建议
此技能功能如描述，但安装前请遵循以下注意事项：
1) 提供具备最小权限的 Bot User OAuth token——确保作用域包含 chat:write 及所需的 conversations/channels 读写作用域（SKILL.md 漏写了创建频道所需的写作用域）。
2) 使用 bot token（非个人用户 token），限制其工作区权限，如被滥用及时轮换/撤销。
3) 查看 GitHub 源码（主页），确认信任作者后再提供 token。
4) 确保运行环境已安装 requests 库，否则技能会报错。
5) 注意技能会向 api.slack.com 发起网络请求（属正常行为）；如担心误发消息或误建频道，请在敏感工作区限制 token 使用。...详细分析 ▾
✓ 用途与能力
名称/描述与所含代码及声明的环境变量（SLACK_BOT_TOKEN）一致；暴露的工具（发送消息、列出/创建频道）直接对应 slack.py 中使用的 Slack API 端点，未请求无关的环境变量或系统路径。
ℹ 指令范围
SKILL.md 始终围绕主题（设置 Slack app、提供 bot token）。文档列出了部分 scope，但漏掉了创建频道所需的 scope（代码调用了 conversations.create，通常需要 conversations:write 或 channels:write）；除此之外，指令并未要求 Agent 读取本地文件或其他凭据。
ℹ 安装机制
无安装声明（低风险）。运行时导入了第三方库 'requests'，但未声明依赖或安装器；代码在缺失时返回错误。这是运行缺陷，非安全警报。
✓ 凭证需求
仅需 SLACK_BOT_TOKEN，其权限与技能功能成正比。该 token 仅用于调用 api.slack.com，不会索取任何其他凭据或密钥。
✓ 持久化与权限
技能未被强制启用（always: false），不会请求系统级配置更改，并使用常规自主调用默认设置。它不会修改其他技能或全局代理设置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/4/20
Slack 集成技能首发版 - 向 Slack 频道发送消息 - 直接在 OpenClaw 中管理 Slack 频道 - 自动化 Slack 工作流 - 设置需 SLACK_BOT_TOKEN
● 无害
安装命令
点击复制官方npx clawhub@latest install lukaizj-slack
镜像加速npx clawhub@latest install lukaizj-slack --registry https://cn.longxiaskill.com