by 安全扫描
OpenClaw
安全
medium confidence技能文件、指令和要求与默认输出 HTML 的原型生成器一致，但一些指令措辞和未声明的运行细节需要谨慎处理。
评估建议
此技能如所述：默认生成 HTML 原型，仅在请求时调用 Figma API。使用前，请注意：（1）仅在信任的渠道中输入 Figma 个人访问令牌，否则通过 auth-profiles.json 文件存储；（2）检查脚本仅调用 api.figma.com API；（3）限制令牌权限，测试后旋转/吊销；（4）在沙盒或最低权限下运行脚本；（5）如果计划使用 Figma 输出，请自己设置 auth-profiles.json。...详细分析 ▾
✓ 用途与能力
技能名称/描述与包含的资产一致：HTML 生成器、Figma 生成器、组件引用和捆绑的 Figma 插件。仅在 Figma 输出时要求 Figma 令牌是合适的，并由 auth-profiles.template.json 文件支持。
ℹ 指令范围
SKILL.md 大部分在范围内（默认生成 HTML；仅在明确请求时调用 Figma API）。然而，文档指示智能体 '提示用户输入 Figma 令牌' 并将其 '保存' 到 auth-profiles.json；此流程模糊，可能导致用户将秘密粘贴到聊天中（向模型/授权日志暴露令牌）。安全写入 auth-profiles.json 的确切机制未指定，一些运行时行为（智能体如何提示、保存文件的位置）留给实现，授予智能体的自由裁量可能在处理不当时泄露秘密。
✓ 安装机制
没有外部安装规范或远程下载；技能是指令优先的，带有本地脚本和 Figma 插件。未观察到任何风险下载 URL 或提取/安装步骤。
ℹ 凭证需求
技能未在元数据中声明所需的环境变量，但文档显示使用 FIGMA_ACCESS_TOKEN（通过 auth-profiles.json 或示例中的环境变量）。仅在使用 Figma 时请求 Figma 个人访问令牌是合理的；然而，技能要求用户提供/存储该令牌，而 SKILL.md 中没有明确的安全工作流。此外，示例 `export FIGMA_ACCESS_TOKEN=$(cat auth-profiles.json | jq -r '.profiles.figma.access_token')` 表示从本地文件读取 — 可接受 — 但文档也建议用户可能直接向智能体提供令牌（暴露风险）。
✓ 持久化与权限
always：false，并且没有关于修改其他技能或系统范围设置的声明。技能在本地 auth-profiles.json 模板中存储凭据，并不包括 'always' 或高权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/27
初始发布
● 无害
安装命令
点击复制官方npx clawhub@latest install ui-prototype-generator
镜像加速npx clawhub@latest install ui-prototype-generator --registry https://cn.longxiaskill.com
技能文档
请见下（保持原文，仅示例，实际应完全保留原始 SKILL.md 内容）