by 安全扫描
OpenClaw
安全
high confidence该技能与其描述一致：它是一个本地的静态隐私扫描脚本，用于在指定目录中查找敏感字符串/文件，不请求凭据或联网行为。
评估建议
总体上该技能内部一致且低风险，但在安装/运行前请注意：
- 在首次运行前快速浏览 scripts/privacy-scan.sh（它是纯 Bash，便于审计）。
- 仅对你打算检查的目录运行该脚本（它会扫描并打印匹配项），不要把 / 或敏感系统目录作为扫描目标以避免噪音或意外泄漏。
- 脚本不会联网或上报结果，但会在终端输出匹配内容；对任何报告为“❌”的项，请在公开前撤销/替换相关密钥或凭据。
- 注意跳过规则可能隐藏某些位置（例如 node_modules 和 .git 被跳过），若怀疑，手动检查这些目录或临时移除跳过规则。
- 可在 CI 中用 --strict 模式强制失败以保证发布前检查通过。详细分析 ▾
✓ 用途与能力
技能名/描述与实际内容一致。SKILL.md 指示运行包含的脚本，脚本实现了列出的 ~20 项正则/路径检测（webhook、API key、私钥、JWT、数据库连接、邮箱、手机号等），没有请求与功能无关的凭据或外部服务。
✓ 指令范围
运行指令限定为本地脚本（在技能目录下的 scripts/privacy-scan.sh），脚本只遍历并 grep/find 指定扫描目录的文件并输出匹配项。脚本会使用 whoami/hostname 来检测与主机/用户相关的痕迹，但这些行为在隐私扫描场景内是合乎目的的。未发现将数据发送到外部端点或模糊/开放式的“收集所有上下文”指令。
✓ 安装机制
无安装规范（instruction-only + 附带脚本），因此不会下载或执行远程代码。脚本依赖于标准 shell/grep/find 等本地工具，这是合理且与用途相称。
✓ 凭证需求
不要求任何环境变量或凭据。脚本未读取未声明的系统凭据或配置路径（仅访问用户指定的扫描目录及常见文件名），没有不成比例的权限需求。
✓ 持久化与权限
技能未设置 always:true，允许用户按需调用；脚本不会修改其他技能或全局代理配置，也不会持久化凭据或自我启用。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.1.02026/3/7
新增 10 项扫描（共 20 项）：Discord/Slack/Telegram Webhook、Telegram Bot Token、数字 ID、JWT Token、SSH 私钥、数据库连接、第三方 API Key、主机名、公网 IP。修复文档示例字符串误报。
● 无害
安装命令
点击复制官方npx clawhub@latest install privacy-scanner
镜像加速npx clawhub@latest install privacy-scanner --registry https://cn.longxiaskill.com