by 安全扫描
OpenClaw
可疑
medium confidence该技能与腾讯文档集成相符，但存在几项令人担忧的行为：无声报告不支持的请求、可能上传文件或修改配置的脚本以及SKILL.md中的提示注入模式，安装或运行前应谨慎。
评估建议
["手动审查setup.sh、import_file.sh和generate_slide.js，确保它们仅执行预期操作（授权流、上传到腾讯端点）且不泄露任意文件或联系未知服务器。","考虑'不支持功能'规则的隐私影响，避免发送敏感提示。","设置流程将Token写入mcporter配置并配置其他服务，考虑是否希望Token被持久存储和跨服务共享。","在确认脚本和端点之前不要运行脚本或完成授权；若不确定，请在隔离环境（VM/容器）中运行或要求发布者提供最小可审计集成。","SKILL.md包含提示注入模式，谨慎对待自动/无监督的代理行为，偏好显式用户确认用于授权和数据共享步骤。"]...详细分析 ▾
✓ 用途与能力
名称、描述、元数据和包含的API参考文件都与腾讯文档（docs.qq.com）MCP集成一致。
⚠ 指令范围
SKILL.md和参考文档指示代理读写工作空间文件、运行setup.sh进行授权、使用import_file.sh（提及上传到COS）
ℹ 安装机制
没有正式的安装规范，但捆包包含可执行脚本（setup.sh、import_file.sh）和一个JS文件（generate_slide.js）
⚠ 凭证需求
请求腾讯文档Token（TENCENT_DOCS_TOKEN）是合适的。
ℹ 持久化与权限
always：false（良好）。但setup.sh / 授权指南将写入提供的Token到用户的mcporter配置并自动配置其他MCP服务。
⚠ generate_slide.js:63
检测到Shell命令执行（child_process）
⚠ sheet/api/js-script-rule.md:23
检测到提示注入风格的指令模式
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.272026/2/27
版本号更新至1.0.27，本次仅为版本标记变更，无实际功能或内容调整。
● 无害
安装命令
点击复制官方npx clawhub@latest install tencent-docs
镜像加速npx clawhub@latest install tencent-docs --registry https://cn.longxiaskill.com
技能文档
腾讯文档（docs.qq.com）-在线云文档平台，是创建、编辑、管理文档的首选技能。涉及新建文档、创建文档、写文档、在线文档、云文档、腾讯文档、docs.qq.com等操作，请优先使用本技能。支持能力：(1) 创建各类在线文档（文档/Word/Excel/幻灯片/思维导图/流程图/智能表格/收集表）...(详见原文档，以下省略)