by 安全扫描
OpenClaw
可疑
medium confidence该技能的文件和指令与基于对账单的订阅追踪器功能基本一致，但部分实现细节（cron/设置脚本未完全可见、未明确指定的'pdf'工具以及对账单内容会被发送到模型提供商）存在意外持久化或数据暴露的可能性——安装前请检查设置和计划任务脚本。
评估建议
安装前检查项 - 运行前检查 setup.sh 和 renewal-check.sh，查找任何网络调用、curl/wget/http 请求或写入 ~/.normieclaw 以外的代码。如果 setup.sh 注册了 cron 任务或 systemd 计时器，请确保调度行为符合预期。确认 PDF 提取：SKILL.md 期望使用 'pdf' 工具进行文本提取，但技能未声明该依赖项。确定代理将调用的二进制文件或插件（pdftotext、pdfgrep 或第三方工具），如需 PDF 解析请安装可信的工具。注意发送到 LLM 的数据：SECURITY.md 承认对账单内容作为对话上下文发送到模型提供商。如果您使用云托管模型，该提供商可能会根据其政策记录或保留数据。如果担心这一点，请使用本地模型运行代理或避免上传完整对账单。检查导出文件和目录权限：~/.normieclaw/subscription-tracker 包含敏感的财务数据和对账单。限制文件系统权限（chmod 700 ~/.normieclaw，subscriptions.json 用 600）并按需备份或删除。README 包含...详细分析 ▾
✓ 用途与能力
名称/描述与包含的文件匹配：解析器说明、本地 JSON 数据库、已知订阅模式、导出和仪表板规范。所需资源（本地文件、jq 用于导出）与目的一致；没有无关的凭证请求或意外的外部服务声明。
⚠ 指令范围
SKILL.md 和 SECURITY.md 明确说明代理将处理上传的对账单文件，并且'对账单内容作为对话上下文的一部分发送到 AI 模型'——这对于 LLM 驱动的工具来说是预期的，但属于隐私敏感操作。指令读写 ~/.normieclaw/subscription-tracker（符合预期）。SKILL.md 提到使用 'pdf' 工具进行 PDF 提取，但技能未声明该二进制文件为必需；这种不匹配可能导致代理尝试调用意外的工具或插件。
ℹ 安装机制
没有远程安装规范（仅指令）——安装时不下载任何东西，风险较低。仓库包含本地 bash 脚本（setup.sh、renewal-check.sh、export-subs.sh）。export-subs.sh 是良性的并检查 jq。然而，setup.sh 和 renewal-check.sh 的完整内容未在可见摘录中提供；README 和仪表板文档表明设置可能创建目录结构和每日 cron 运行 renewal-check.sh。这是合理的，但在运行前应检查 setup.sh，因为计划任务是持久化向量。
✓ 凭证需求
技能不请求环境变量、凭证，数据本地存储。Budget Buddy Pro 集成实现为本地导出文件（未显示 API 密钥）。可见文件中没有明显的无关密钥或系统路径请求。
⚠ 持久化与权限
always:false（良好）。技能将创建和维护 ~/.normieclaw/subscription-tracker，并可能（根据文档）设置每日续费检查 cron 任务；这对于持续警报功能合理，但是主机上的持久化。结合对账单内容作为对话上下文发送到模型提供商的事实，计划/自动运行可能在没有重复明确用户操作的情况下向模型提供商暴露财务数据。检查 setup.sh 以确认是否注册了 cron 任务或其他计划任务。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.32026/3/31
v1.0.3：安全修复：将脚本限制在技能目录中，从设置中移除了文件系统遍历
● 无害
安装命令 点击复制
官方npx clawhub@latest install normieclaw-subscription-tracker
镜像加速npx clawhub@latest install normieclaw-subscription-tracker --registry https://cn.clawhub-mirror.com
技能文档
概述
Subscription Tracker 是一款基于 AI 的工具，可从上传的银行对账单中自动识别、跟踪和分析订阅服务。
功能
- 自动解析：从 PDF/图片对账单中提取交易记录
- 智能识别：基于已知订阅模式自动识别订阅服务
- 费用分析：检测重复扣费、涨价、即将续费
- 提醒通知：提前提醒续费日期和异常费用
- 导出功能：支持 CSV/JSON 导出，便于进一步分析
使用方法
- 上传银行对账单（PDF 或图片）
- 等待 AI 解析和识别订阅
- 查看仪表板了解订阅概况
- 设置提醒和通知
安全说明
对账单内容将作为对话上下文发送给 AI 模型，请确保使用可信的模型提供商。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制