by 安全扫描
OpenClaw
安全
high confidenceNULL
评估建议
这看起来是一个实现清晰、范围有限的本地同步脚本，但在安装/运行前请注意：
- 验证依赖：确保系统已安装 rsync（脚本依赖），以及常见的 shell 工具（find、sed 等）。注册表元数据没有列出这些依赖——请手动确认。
- 审阅脚本：脚本全部可见且简单，建议在信任的环境中打开并检查是否有你不希望的命令（已检查：无网络、无凭据外传）。
- 先做干运行/测试：在小的测试目录上运行，确认结果符合预期，避免意外覆盖或把不想要的文件复制到 Vault。你可以先复制脚本到本地并手动检查命令（rsync 的选项会决定覆盖行为）。
- 日志与隐私：脚本会把执行信息（包括路径/文件名）写入 ~/.openclaw/workspace/logs/obsidian-folder-sync.log，确认日志位置与内容是否可接受，必要时清理或更改日志路径。
- 备份 Vault：在第一次运行前备份你的 Obsidian Vault，以防同步配置或路径出错导致意外写入。
总体结论：功能与声明一致，风险来自常规误操作（路径/覆盖/日志），而非远程数据泄露或过度权限请求。详细分析 ▾
ℹ 用途与能力
技能名称、描述、SKILL.md 与包含的 scripts/sync.sh 一致：目标是将源目录下的 .md 文件同步到本地 Obsidian Vault。小不一致点：注册表元数据列出“无必需二进制”，但脚本依赖系统工具（rsync、find、sed、mkdir、rm 等）。这属于文档/元数据不准确，而非功能性异常。
✓ 指令范围
运行说明明确要求用户提供源目录与 Vault 路径；脚本只读取这些路径下的文件、在 /tmp 写临时文件并在用户主目录下写日志。没有向外部网络发送数据，也没有访问或要求与技能目的无关的系统配置或凭据。
✓ 安装机制
无安装规范（instruction-only），只有一个可审计的 shell 脚本。没有从不明 URL 下载或执行远程代码，风险较低。
ℹ 凭证需求
技能声明不需要环境变量，脚本也不读取额外凭据；唯一使用的环境值是 HOME（用于日志路径）。SKILL.md 提到“可通过环境变量覆盖配置（高级用法）”，但脚本中并未实现这些覆盖，存在文档与实现不完全一致的情况。
✓ 持久化与权限
技能不会请求长期驻留（always:false），也不会修改其它技能或系统范围配置。它在用户指定的 Vault 中创建/写入文件并写日志到 ~/.openclaw/workspace/logs，权限范围与其功能相符。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/25
NULL
● 无害
安装命令
点击复制官方npx clawhub@latest install obsidian-folder-sync
镜像加速npx clawhub@latest install obsidian-folder-sync --registry https://cn.longxiaskill.com