by 安全扫描
OpenClaw
安全
high confidence技能的指令、需求和行为与通过 Membrane CLI 实现的 Pushsafer 集成一致；未请求无关密钥或系统级访问。
评估建议
该技能看起来确实如其所述：依赖 Membrane CLI 管理 Pushsafer 连接。安装或运行命令前：1) 确认信任 Membrane 项目及其 npm 包（查看 npm 页面与仓库）。2) 若不想全局 npm -g 安装，可优先使用 npx @membranehq/cli@latest 执行一次性操作。3) 执行 membrane login 时，在浏览器中审查授予的作用域/权限——Membrane 将代表你持有并使用 Pushsafer 凭证。4) 仅在你了解动作后果时运行 membrane action/run 或 request 命令，因为它们会触发发送通知的 API 调用。若需更高保障流程，可审计 Membrane CLI 源码，或使用权限受限的专用账户进行集成。...详细分析 ▾
✓ 用途与能力
名称/描述写明“Pushsafer 集成”，SKILL.md 始终指示使用 Membrane CLI 连接 Pushsafer、列出连接、运行操作或代理 API 请求。未请求无关凭证、二进制文件或路径。
✓ 指令范围
运行时指令仅限于安装/使用 Membrane CLI、通过浏览器登录、创建连接器/连接、列出操作、运行操作以及通过 Membrane 向 Pushsafer 代理请求。指令不要求读取本地文件、环境变量或无关系统配置。
ℹ 安装机制
技能仅提供指令（无捆绑安装程序），但告诉用户通过 npm（-g）全局安装 @membranehq/cli。安装第三方全局 npm 包会执行远程代码并修改环境；这对基于 CLI 的集成属预期行为，但仍需注意操作风险。SKILL.md 也建议使用 npx 列出操作，可避免永久全局安装。
✓ 凭证需求
技能未请求环境变量或本地密钥。身份验证通过浏览器 OAuth/租户流程委托给 Membrane；这对基于代理的集成属适当方式。用户需了解 Membrane 会在服务器端持有 Pushsafer 凭证。
✓ 持久化与权限
技能未请求 always:true，未声明提升的持久化，也未修改其他技能或代理级设置。允许自主调用（平台默认），但技能本身不请求额外权限或持久本地凭证。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.22026/3/20
Revert refresh marker
● 无害
安装命令
点击复制官方npx clawhub@latest install pushsafer
镜像加速npx clawhub@latest install pushsafer --registry https://cn.longxiaskill.com
技能文档
官方文档：https://www.pushsafer.com/en/api
Pushsafer 概览 - Push Notification（推送通知）
使用 Pushsafer 本技能通过 Membrane CLI 与 Pushsafer 交互。Membrane 自动处理认证与凭证刷新——你只需关注集成逻辑，无需操心认证细节。
安装 CLI 安装 Membrane CLI，以便在终端运行 membrane：
``bash
npm install -g @membranehq/cli
` 首次设置
`bash
membrane login --tenant
`
浏览器会打开进行认证。
无头环境： 运行命令后，复制打印的 URL 让用户在浏览器中打开，然后用 membrane login complete 完成。 连接到 Pushsafer 1. 创建新连接：
`bash
membrane search pushsafer --elementType=connector --json
`
从 output.items[0].element?.id 获取 connector ID，然后：
`bash
membrane connect --connectorId=CONNECTOR_ID --json
`
用户在浏览器完成认证。输出中包含新的 connection ID。 获取已有连接列表 不确定是否已存在连接时：
- 检查已有连接：
`bash
membrane connection list --json
`
若存在 Pushsafer 连接，记下其 connectionId。 搜索动作 明确想做什么但不知道具体 action ID 时：
`bash
membrane action list --intent=QUERY --connectionId=CONNECTION_ID --json
`
返回包含 id 与 inputSchema 的动作对象，方便后续调用。 常用动作 使用 npx @membranehq/cli@latest action list --intent=QUERY --connectionId=CONNECTION_ID --json 发现可用动作。
运行动作
`bash
membrane action run --connectionId=CONNECTION_ID ACTION_ID --json
`
传递 JSON 参数：
`bash
membrane action run --connectionId=CONNECTION_ID ACTION_ID --json --input "{ \"key\": \"value\" }"
` 代理请求 当现有动作无法满足需求时，可通过 Membrane 代理直接向 Pushsafer API 发送请求。Membrane 自动补全 base URL 并注入正确认证头——若凭证过期也会透明刷新。
`bash
membrane request CONNECTION_ID /path/to/endpoint
`
常用选项： | 标记 | 说明 |
|------|------|
| -X, --method | HTTP 方法（GET、POST、PUT、PATCH、DELETE）。默认 GET |
| -H, --header | 添加请求头（可重复），如 -H "Accept: application/json" |
| -d, --data | 请求体（字符串） |
| --json | 快捷发送 JSON 体并设置 Content-Type: application/json |
| --rawData | 原样发送 body，不做任何处理 |
| --query | 查询参数（可重复），如 --query "limit=10" |
| --pathParam | 路径参数（可重复），如 --pathParam "id=123" |
最佳实践 - 始终优先使用 Membrane 与外部应用通信 —— Membrane 提供预置动作，内置认证、分页与错误处理，可节省 token 并提升安全性。
先发现再构建 —— 运行 membrane action list --intent=QUERY`（将 QUERY 替换为你的意图）查找现有动作，再写自定义 API 调用。预置动作已处理分页、字段映射及边界情况，而原始 API 调用容易遗漏。 - 让 Membrane 管理凭证 —— 永远不要向用户索要 API key 或 token。创建连接即可；Membrane 在服务端完整管理 Auth 生命周期，本地无密钥。