📦 sf-express — 顺丰速运 — 物流追踪与服务工具
v1.0.2使用顺丰速运技能进行物流追踪、运输指导、服务类型比较、网点查询、预估送达时间或费用。适用于用户询问顺丰速运相关事项。
0· 277·1 当前·2 累计
by 安全扫描
OpenClaw
安全
medium confidence该技能内部逻辑一致，用于顺丰速运助手：存储本地历史/订阅，实现本地加密存储，不请求无关凭证或外部服务。但存在实现问题和隐私权衡，安装前应了解。
评估建议
该技能似乎如其所述：本地追踪、估算和本地历史/订阅/地址持久化。安装前：（1）如果存储敏感地址或电话号码，审查已包含的代码。（2）注意技能创建本地存储目录和安全目录（模式600）——确认您对本地存储感到舒适。（3）加密实现中可能存在关键派生/使用漏洞，可能破坏加密或导致技能失败；要求作者修复关键处理（Fernet期望urlsafe_b64encoded 32字节键）。（4）在隔离的Python虚拟环境中安装依赖项，并在沙盒中测试，然后再提供真实的PII。（5）如果需要更强的保证，请求维护者记录加密设计或删除敏感字段的本地存储。如果您愿意，我可以指出确切的行/更改来修复关键处理并加固存储行为。...详细分析 ▾
✓ 用途与能力
名称/描述与包含的代码匹配：追踪、估算、历史、订阅、地址存储和隐私控制。没有无关的环境变量、二进制文件或外部云凭证被请求。
✓ 指令范围
SKILL.md仅描述顺丰速运工作流，并明确记录本地持久性和隐私命令。运行时文件在~/.openclaw/data/sf-express上运行，不引用显示代码中的其他系统范围配置或无关路径。
✓ 安装机制
这是一个带有代码的指令捆绑包，没有安装规格；依赖项列在requirements.txt中（aiohttp、cryptography等）。没有外部下载URL或存档提取。预期的机制是通过pip安装Python依赖项。
ℹ 凭证需求
该技能不请求环境变量或外部令牌（合理）。它在磁盘上持久存储用户数据（查询历史、订阅、地址）并在~/.openclaw/data/sf-express/secure/.key（模式600）存储本地密钥文件。存储地址/电话数据是敏感的——持久性对于声明的功能是合理的，但用户应该意识到这一点。另外，本地加密实现具有可疑/不正确的键处理模式（使用随机输入和base64编码/解码步骤的PBKDF2），这可能会破坏或削弱加密；这是一种实现错误，而不是恶意意图的指示，但它影响了隐私保证。
ℹ 持久化与权限
该技能在用户的主目录下持久存储数据，并提供隐私命令来检查/清除/导出这些数据。always:false（没有强制的全局存在）。对于功能集，持久存储订阅/历史/地址是合适的，但由于该技能存储了可能敏感的PII和本地密钥文件，您应该在存储秘密之前审查或审计存储和加密行为。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.22026/3/14
英文优先文档更新
● 无害
安装命令
点击复制官方npx clawhub@latest install sf-express
镜像加速npx clawhub@latest install sf-express --registry https://cn.longxiaskill.com
技能文档
顺丰速运
概述
使用此技能帮助用户完成常见的顺丰速运任务，如追踪物流、了解服务级别、估算时间或费用、准备寄送包裹。本地持久性
当使用本地CLI/运行时代码时，此技能可能会创建和持久存储本地数据在以下路径下：~/.openclaw/data/sf-express/sfexpress.db— 存储查询历史 — 存储物流订阅记录 — 可能存储保存的地址记录（如果实现/使用这些命令）~/.openclaw/data/sf-express/secure/— 存储用于隐私/存储助手的加密本地文件~/.openclaw/data/sf-express/secure/.key— 存储具有模式600的本地加密密钥文件~/.openclaw/data/sf-express/privacy_export.json— 可能在用户运行隐私导出时创建
隐私控制
本地CLI支持隐私操作：privacy info— 显示本地存储路径和存储文件信息privacy clear— 清除本地SQLite历史/订阅数据和加密本地文件privacy export— 将本地存储元数据导出到privacy_export.json
工作流
- 确定用户的目标： — 跟踪现有的物流 — 估算费用或送达时间 — 比较服务类型 — 找到附近的网点或自提柜 — 准备物流详细信息 — 查看或清除本地历史/订阅/隐私数据
- 仅询问缺失的必需信息（如追踪号码、路由、包裹大小或紧急程度）。
- 首先提供最实用的答案。
- 如果无法确认确切的费用或送达时间，提供谨慎的估算并说明假设。
- 如果任务使用持久存储数据的本地运行时功能，提到可能会在
~/.openclaw/data/sf-express/下创建本地历史/订阅/隐私文件。 - 除非有可用的实时工具并确认，否则不要声称完成实际的寄送操作。