by 安全扫描
OpenClaw
可疑
medium confidence该技能基本符合其声明的“抓取+情感分析”用途，但存在未公开的对外 license/验证网络请求及本地缓存行为，且 SKILL.md 中未予说明——此差异存疑，使用前建议审查。
评估建议
安装或运行此技能前：
- 自行审阅脚本（scripts/sentiment.py），尤其关注 verify_token() 实现及对 https://geo-api.yk-global.com/validate 的 POST 请求，确认实际发送的数据。代码似乎会将用户提供的 API key 远程验证并本地缓存结果。
- 在确认验证端点及载荷可信并信任运营方（yk-global.com）前，切勿输入生产或高权限 API key（GLM-4 key、云凭证等）。建议先用一次性/测试 key。
- 本技能会将数据与配置（含 webhook / SMTP 凭据）写入 ~/.sentiment-compass 与 ~/.sentiment_cache——仅存放非敏感测试数据，或在隔离 VM/容器内运行。
- 若不想外部验证，可定位并禁用/打桩 verify_token()，或在无网络环境中运行（但 GLM-4 调用仍需联网）。
- 验证 yk-global.com 域名归属及商业关系（README 中的购买链接）。若无法核实供应商，请谨慎，优先选择手动或自建方案。...详细分析 ▾
⚠ 用途与能力
SKILL.md 和 README 描述了基于 GLM-4 的情感分析（含抓取）、本地 SQLite 存储以及 Feishu/SMTP 通知，与所提供代码一致。然而，代码中包含“91Skillhub Token Verification”流程：它会将用户的 API key POST 到外部端点（https://geo-api.yk-global.com/validate）并用大量无关前缀做层级映射。SKILL 元数据声明无需凭据，但代码却期望/接受 API key 并可远程验证。该远程验证行为在 SKILL.md 中未明确说明，造成能力与需求不匹配。
⚠ 指令范围
SKILL.md 指示抓取公开页面，将数据存储在 ~/.sentiment-compass 下，并使用 GLM-4 API 以及用户提供的 webhooks/SMTP。运行时代码确实会抓取页面并存储本地数据，但也包含联系外部许可证/验证服务的逻辑，并将验证结果缓存在 ~/.sentiment_cache 下。将用户提供的 API 密钥/令牌验证/外泄至外部服务器的行为在 SKILL.md 中未描述，因此该说明低估了网络活动及离盒传输的数据量。
✓ 安装机制
这是一个仅包含指令的技能，附带 Python 脚本和 requirements.txt。没有从任意 URL 下载的安装器；依赖项为标准 Python 包和 Playwright。无安装规范相比远程安装器降低了供应链风险。
⚠ 凭证需求
该 skill 未声明任何必需的环境变量，但使用 config 存储的 `glm_api_key`，并通过配置接收飞书 webhook 与 SMTP 凭据。`verify_token` 函数会将用户提供的 API key 发往外部验证端点（Authorization: Bearer {api_key}）。这意味着用户提供的密钥（如 GLM-4 或 license token）可能被传出主机——所请求/提供的凭据与元数据声明不符，且在 SKILL.md 中未完整说明。
ℹ 持久化与权限
代码持续将数据和配置保存在用户主目录下（~/.sentiment-compass 和 ~/.sentiment_cache）。它不要求 'always: true'，也不修改其他 skills，但本地持久化保存的抓取内容、配置及缓存的验证结果可能包含敏感信息（如用户设置的 webhook URL、SMTP 凭据、API key）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
Sentiment Compass Pro v1.0.0 — 首次发布 - 在 Xiaohongshu、Douyin、Weibo、微信公众号启动 AI 驱动的社媒舆情监测。 - 支持关键词监控，实时情感分析（正面/中性/负面）并附带可解释摘要。 - 自动生成报告，负面情感超阈值时通过 Feishu 或邮件告警。 - 本地 SQLite 存储，定时 Playwright 网页抓取（无官方 API），配套完整管理命令。 - 多档订阅，平台、关键词及报告/告警功能按需区分。
● 无害
安装命令
点击复制官方npx clawhub@latest install sentiment-compass-pro
镜像加速npx clawhub@latest install sentiment-compass-pro --registry https://cn.longxiaskill.com镜像同步中