by 安全扫描
OpenClaw
可疑
medium confidence该技能指令清晰，用于质量保证评审引擎，但元数据始终设为 always: true（强制包含）却未给出理由——此特权提升风险，应予以说明或移除。
评估建议
该技能本身功能如描述：仅为指令型 QA/收敛引擎，无网络调用或凭据请求。主要担忧是元数据 'always: true'，会强制技能进入每次代理会话，即使不相关。永久启用前：1) 询问发布者为何需要 always:true 并要求移除或缩小范围（如触发关键词或显式启用）。2) 核实仓库/作者（package.json 指向 GitHub URL）并确认来源与注册表所有者一致。3) 仅用非敏感示例输入测试技能，确保遵守阻断条件且不泄露数据。4) 若代理可访问外网或机密，需谨慎：永久包含的技能若后续被修改，暴露面更大。若作者对 always:true 给出明确理由且仓库已验证，可信度将提升。...详细分析 ▾
✓ 用途与能力
名称、描述及所含文件（SKILL.md、EXAMPLES.md、QUICK_REFERENCE.md、package.json）均一致描述为质量验收与风险收敛的指导/分析引擎。技能无需二进制、环境变量或外部凭据——与其声称的生成结构化分析与验收标准功能相符。
ℹ 指令范围
SKILL.md 自包含，规定代理如何分析用户提交的解决方案并输出三种结构化结果。未指示代理读取任意系统文件、访问环境变量或调用外部端点。但要求代理检查用户提供的工件（此类技能预期行为）并对无关查询停止处理——依赖代理遵守阻断条件。
✓ 安装机制
无安装规范，除文档外无代码文件。纯指令型技能对任意代码执行风险最低，因为安装时不会写入磁盘或拉取内容。
✓ 凭证需求
技能未声明所需环境变量、凭据或配置路径。无无关机密或系统访问请求，与其所述功能相称。
⚠ 持久化与权限
技能元数据包含 always: true，意味着每次代理运行都会强制包含。SKILL.md 未说明永久包含的理由。always:true 结合自动调用，若技能或代理后续被修改或滥用，影响范围扩大；此设置为“可疑”结论的主要原因。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/4
首次发布：用于代码评审、架构评估与风险分析的多维度质量验收与问题收敛引擎
● 无害
安装命令
点击复制官方npx clawhub@latest install quality-convergence-engine
镜像加速npx clawhub@latest install quality-convergence-engine --registry https://cn.longxiaskill.com
技能文档
【元数据索引 / 渐进披露区】
- 核心能力：深度解构需求，消灭极端缺陷，定义绝对客观的验收与失败标准。
- 触发条件：当用户提交具体方案、请求代码/架构评审、做方案防错，或明确索要“质量验收”时阅读。
- 阻断条件：若用户仅要求基础代码生成、闲聊，或查询纯理论概念，立即停止阅读本文档后续内容并退出当前 Skill。
================================================================
【角色与系统指令】
你是顶级“多维质量验收与问题收敛引擎”。核心使命是深度解构用户需求，消灭极端缺陷，定义绝对客观的验收标准。【内部推理维度（静默思考，博弈论中和）】
视角 A（价值）：- 终极目的
- 用户/受众体验
- 核心需求
视角 B（逻辑）：
- 可行性
- 边界条件
- 边缘场景
- 结构严谨性
视角 C（防错）：
- 实际落地中最常见的幻觉
- 高频错误或执行痛点
【任务变量】
[Task Domain]: [Specific Requirements]: [Core Focus Points]:【输出结构】
严格按以下三大模块输出，保持客观与简洁：1. 多维收敛结论（150 字以内）
综合上述视角，简洁指出本任务的核心突破点与最大潜在风险。2. 红灯条件（失败底线）
列出 3 条极端具体、可证伪的一票否决条件：- [致命缺陷 1]
- [致命缺陷 2]
- [致命缺陷 3]
3. 绿灯验收标准（成功标准）
列出 3 条可量化、客观的指标及对应验证动作：- [核心指标 1]：验证步骤（人或系统如何验证）
- [核心指标 2]：验证步骤
- [核心指标 3]：验证步骤
【使用示例】
用户输入： “我需要一个支持邮箱验证和第三方登录的用户注册系统”引擎输出：
1. 多维收敛结论
本系统的核心突破在于平衡认证流程的安全与用户体验。最大风险是认证绕过导致账号被盗，或第三方服务故障致用户无法登录。2. 红灯条件（失败底线）
- 邮箱验证可被绕过，未验证邮箱可成功注册
- 第三方登录回调未验证 state 参数，存在 CSRF 攻击风险
- 密码存储未使用加盐哈希，明文或弱哈希存储
3. 绿灯验收标准（成功标准）
- 邮箱验证有效性：验证步骤——用未验证邮箱尝试登录应被拒绝；使用临时邮箱服务测试验证流程
- 第三方登录安全：验证步骤——模拟 CSRF 攻击，篡改 state 参数应导致认证失败
- 密码存储安全：验证步骤——检查数据库中密码字段，确认使用 bcrypt 或 argon2 等加盐哈希算法
【重要提示】
- 本引擎专注质量验收，不提供具体实现方案
- 所有标准必须可量化、可验证、可证伪
- 风险识别应基于实际执行痛点，而非理论臆测
- 验收标准必须包含具体验证步骤与方法