by 安全扫描
OpenClaw
安全
high confidence该技能的请求和指令与基于 CLI 的封面图像生成器一致，会将您的 API 密钥和封面文本发送到 api.xhscover.cn，需要您信任该服务。
评估建议
该技能一致性良好，通过 npx 运行 xhscover npm CLI，发送 API 密钥和封面文本到 api.xhscover.cn 生成封面。使用前请确认信任 xhscover 服务和 npm 包。注意：(1) CLI 将本地存储 API 密钥；(2) 提供的文本将传输到远程服务；(3) npx 在运行时从 npm 获取和执行代码。若数据敏感，请避免使用或创建有限测试 API 密钥。建议检查 xhscover-cli 仓库代码和 xhscover.cn 隐私政策。...详细分析 ▾
✓ 用途与能力
名称、描述和运行时指令都描述了调用 xhscover CLI 生成小红书风格封面的过程。需要 npx（运行 npm CLI 包）和调用 api.xhscover.cn 与该目的一致。
ℹ 指令范围
SKILL.md 指导代理运行 'npx xhscover' 命令（生成、余额、历史、设置）。它明确说明将发送 API 密钥和封面文本到 api.xhscover.cn — 适用于基于云的图像生成 CLI，但这是用户应了解的重要隐私相关行为。
✓ 安装机制
无安装规格；技能仅为指令，包括一个小包装脚本执行 'npx xhscover'。从技能包角度看，风险较低。注意：npx 将在运行时从 npm 注册表获取和执行代码（npm CLI 的正常行为）。
ℹ 凭证需求
该技能未声明任何必需的环境变量或不寻常的配置路径。README/SKILL.md 表示 CLI 将注册并在 ~/.xhscover 存储 API 密钥，并将该密钥和用户提供的文本传输到服务 — 与声明的功能成比例，但敏感，值得用户关注。
✓ 持久化与权限
always 为 false，该技能不请求高级或持久平台权限。它不修改其他技能或系统范围的配置（除了 CLI 自己存储 API 密钥，预期如此）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv3.0.02026/3/6
改用 npx xhscover，支持终端内注册登录，移除手动 API Key 配置
● 可疑
安装命令 点击复制
官方npx clawhub@latest install xhs-cover-skill
镜像加速npx clawhub@latest install xhs-cover-skill --registry https://cn.clawhub-mirror.com
技能文档
通过 npx xhscover 生成小红书风格封面图片。首次使用自动引导注册，跨平台支持。
注意：本技能需要将您的 API Key 和封面文案发送到 xhscover.cn 服务。请确保您信任该服务后再使用。
环境要求
- Node.js >= 18（用于 npx）
首次使用
如果未配置 API Key，运行以下命令注册并自动配置：npx xhscover setup
快速使用
# 生成封面（默认 3:4 竖版）
npx xhscover generate "5个习惯让你越来越自律"
# 指定宽高比
npx xhscover generate "今日份好心情" 1:1
# 查询余额
npx xhscover balance
# 查看历史
npx xhscover history
宽高比选项
| 比例 | 说明 |
|---|---|
3:4 | 小红书标准竖版（默认） |
9:16 | 超长竖版 |
1:1 | 正方形 |
16:9 | 横版 |
数据流向
本技能通过npx xhscover 调用 api.xhscover.cn REST API，将封面文案和 API Key 发送到服务端进行处理。相关链接
- 官网：https://xhscover.cn
- CLI 工具：https://github.com/xwchris/xhscover-cli
- npm 包：https://www.npmjs.com/package/xhscover
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制