by 安全扫描
OpenClaw
可疑
medium confidence该技能目的（更新依赖）与指令一致，但运行时涉及文件系统访问、命令行工具、测试执行与仓库提交，却未声明所需二进制文件、凭据或安全措施——此差异及可能运行任意项目代码需引起警惕。
评估建议
此技能看似功能相符，但存在缺口与潜在风险，启用前请考虑：
- SKILL.md 要求代理读取项目文件、运行包管理器命令、执行测试并提交 git，这些对依赖更新合理但属于高权限操作，因仓库中的测试与脚本可执行任意代码。
- 技能元数据未声明所需二进制文件（npm、pip、cargo、go、git、测试运行器）也未说明如何处理私有仓库/认证令牌；若缺少这些工具/凭据，可能出现运行时失败或意外行为。
- 应要求代理在更新、运行测试或提交前明确征得确认；优先在一次性/沙箱环境执行更新，并在更改前创建备份或分支。
- 若项目使用私有包仓库或需 git 推送权限，请限制技能可用凭据，仅提供限定作用域的令牌。
- 若不希望代理自主运行测试或提交，请勿启用自动调用，并在任何更新操作前手动审阅其报告。
若发布者能（a）声明所需二进制文件，（b）说明凭据使用与确认提示，（c）记录沙箱/测试安全措施，风险将大幅降低。...详细分析 ▾
ℹ 用途与能力
名称/描述与指令一致：扫描包清单并运行包管理器检查。然而元数据未列出所需二进制或配置路径，而 SKILL.md 期望 npm、pip、cargo、go（以及隐含的 git 和测试运行器）可用。缺少声明的运行时依赖属于文档/一致性问题。
⚠ 指令范围
指令要求代理通过读取项目文件（package.json、pyproject.toml 等）检测包管理器，运行可能连接仓库的命令（npm outdated、pip list --outdated、cargo outdated），每次更新后运行测试并提交更改。运行测试和提交会更改仓库——对更新器合理但属高权限。SKILL.md 未要求在执行这些操作前获得用户明确确认、沙箱化或安全检查。
✓ 安装机制
仅指令型技能，无安装规范，因此技能本身不会向磁盘写入任何内容，安装风险最低。但部分引用工具（如 cargo-outdated）可能是默认未安装的第三方子命令；技能未说明如何获取它们。
ℹ 凭证需求
技能未请求环境变量或凭据，表面一致。实际更新使用私有仓库的项目可能需要认证令牌（npm、pip 索引）或 git 凭据以推送提交；SKILL.md 未提及或说明如何访问及使用这些凭据。
✓ 持久化与权限
技能非常驻启用，安装时无持久化。不会请求系统级配置更改或访问其他技能的配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/20
首次发布——自动化依赖检查与更新，附带风险评估与变更日志预览。 - 扫描 npm、pip、cargo、go 项目中的过期依赖。 - 提供包含变更日志与破坏性改动的详细更新报告。 - 评估每次更新的风险等级，并按安全阶段更新（补丁→小版本→大版本）。 - 单独运行测试并提交更新，实现更安全升级。 - 响应“更新依赖”“检查过期”等触发词。
● 无害
安装命令
点击复制官方npx clawhub@latest install skylv-dependency-updater
镜像加速npx clawhub@latest install skylv-dependency-updater --registry https://cn.longxiaskill.com