by 安全扫描
OpenClaw
可疑
medium confidence技能的声明目的（通过 n8n Webhook 的结账）与指令匹配，但运行时指令对如何获取和传输敏感数据（JWT、完整支付细节）含糊，可能导致滥用或意外数据暴露。
评估建议
["安装或使用前，请确认 n8n Webhook 端点是本地的（运行在 localhost）且未修改为指向外部主机。","审计 Webhook 实现，确保它们不将原始卡号或其他秘密转发到您的网络外；优先使用令牌化支付流，其中前端直接与 PCI 合规处理器交换卡数据，Webhook 只接收令牌。","澄清代理如何获取 JWT 声明并确保它不会读取或窃取存储在其他地方的凭据（env 文件、浏览器 cookie、密钥存储），除非您明确允许。","如果您在非 localhost 地址上运行 Webhook 端点，请使用 TLS 和身份验证。"]...详细分析 ▾
✓ 用途与能力
名称和描述与运行时指令一致：技能调用 localhost 上的 n8n Webhook（checkout-validate 和 checkout-process）管理结账，这与基于 n8n 的结账流程一致。它不请求无关的凭据或二进制文件。
⚠ 指令范围
指令指示代理调用本地 Webhook（http://localhost:5678/...）、检查来自“JWT 声明”的身份验证并处理支付处理。SKILL.md 未指定哪些字段安全地发送到 Webhook 或要求支付数据的令牌化；它只说“永远不要存储或记录完整的支付细节”，但不禁止将原始卡数据发送到 Webhook。JWT 的来源以及调用 Webhook 时要包含的任何头部/凭据都未指定。这种模糊性可能允许代理将敏感数据传输到 Webhook（并可能进一步传输），或错误处理身份验证声明。
✓ 安装机制
未包含安装规范或代码文件（仅指令）。安装期间没有写入磁盘或下载内容，从而降低了安装时的风险。
ℹ 凭证需求
技能未声明任何必需的环境变量或凭据，这与调用本地 Webhook 一致。然而，它指示验证来自 JWT 声明的身份验证，但未说明如何访问 JWT；如果代理从环境、cookie 或其他上下文拉取 JWT，这种行为应明确。未声明凭据是合理的，但留下了关于身份验证令牌来源的模糊性。
✓ 持久化与权限
always 为 false 且技能是用户可调用。它不请求持久存在或提升的平台权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/3/4
添加元数据文件 (_meta.json) 以改进技能管理和集成。
● 无害
安装命令 点击复制
官方npx clawhub@latest install haresh-checkout-flow
镜像加速npx clawhub@latest install haresh-checkout-flow --registry https://cn.clawhub-mirror.com
技能文档
简介
通过 n8n Webhook 集成处理电商结账流程...# ... （保留原始 Markdown 格式和代码块不翻译）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制