by 安全扫描
OpenClaw
安全
medium confidence该技能的代码、必需的二进制文件和环境变量与其声明的交易目的保持一致，没有明显的误导，但由于它可以执行敏感操作（转账/提款），您应该在启用之前验证 API 密钥权限和来源。
评估建议
该包似乎实现了它所声称的功能（交易、转账、提款、市场数据）。安装前：（1）验证发布者/仓库链接（主页和 GitHub）并确认代码来源。（2）创建仅限读取/交易的 API 密钥（禁用提款）并启用 IP 白名单——除非您明确信任源，否则不要提供启用提款的密钥。（3）审查 package.json 和 requirements.txt 中的第三方依赖项。（4）在隔离环境（容器或 VM）中运行安装程序，并在启用生产环境前检查构建的插件。（5）考虑为此技能禁用自主模型调用或要求对任何移动资金的操作进行手动确认。若需更高的安全保障，请向维护者请求签名发布或官方分发渠道，并/或对包含的文件进行独立代码审计。...详细分析 ▾
✓ 用途与能力
请求 ZKE API 密钥的名称/描述和包中包含的 Python 和 TypeScript 代码实现了现货/期货交易、转账、提款和 WebSocket 市场数据。要求 python3 和 npm 与提供的 Python 运行时和本地 TypeScript桥接一致。
ℹ 指令范围
SKILL.md 指示运行提供的 install_openclaw_plugin.sh 并仅设置 ZKE_API_KEY/ZKE_SECRET_KEY。README 声称“不生成或使用本地明文配置文件”在凭证方面基本正确（它们来自环境变量），但安装程序创建了本地虚拟环境 (.venv) 并编译/安装了插件；运行时代码通过 MCP 工具暴露了许多交易/提款操作。
ℹ 安装机制
无外部任意二进制下载；安装程序运行 npm install/build 和 pip install 从 requirements.txt 安装，并通过 openclaw CLI 注册插件。这种情况是预期的，但会导致 npm/pip 包的网络拉取（正常但应审查）。安装脚本还要求主机有可用的 openclaw CLI。
ℹ 凭证需求
仅要求 ZKE_API_KEY 和 ZKE_SECRET_KEY，这对于交易所集成是合理的。然而，代码包括提款和转账功能——因此，具有提款权限的 API 密钥将允许资产移动。SKILL.md 本身推荐禁用提款并使用 IP 白名单；应遵循此建议。
✓ 持久化与权限
always：false（无强制始终启用）。该技能暴露了 MCP 工具（mcp.tool），代理可以调用（默认 disable-model-invocation 为 false），这对于技能来说是正常的。考虑是否允许代理自主调用交易/提款操作。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.132026/3/20
更新到版本 1.0.13。改进了元数据格式，添加了主页和表情符号以提高可发现性。更新了配置以阐明所需的环境变量和主机依赖项。移除了旧的 skill.json 文件以获得更干净的设置。文档现在突出显示了关键功能并提供了直接资源链接。
● 无害
安装命令 点击复制
官方npx clawhub@latest install zke-trading
镜像加速npx clawhub@latest install zke-trading --registry https://cn.clawhub-mirror.com
技能文档
官方 OpenClaw (MCP) 实现，用于 ZKE 交易所的安全、对话式交易。
🔒 安全架构（严格遵守）
无明文存储： 本插件 不 生成或使用本地明文配置文件（例如，无config.json）。
标准环境变量： 验证严格依赖标准 MCP 环境变量，以确保您的凭证安全。
最小权限与提款： 本 SDK 明确支持资产转账和提款。我们 强烈推荐 您的 API 密钥 禁用提款 且仅限 读取/交易。始终在 ZKE API 管理控制台中 强制执行 IP 白名单。
本地构建： 附带的安装程序严格构建本地 TypeScript/Python 依赖项并注册插件。它不会在运行时从远程未验证源下载可执行代码。🛠️ 安装与设置
- 编译与注册插件： 运行捆绑的安全构建脚本。这将设置 Python 虚拟环境并编译本地 TypeScript桥接：
bash install_openclaw_plugin.sh
- 配置环境变量（必需）：您必须在 OpenClaw 主机配置中提供以下环境变量，以启用交易功能：
ZKE_API_KEY：您的 ZKE API 访问密钥
ZKE_SECRET_KEY：您的 ZKE API 密钥🪄 魔法提示 「什么是 ASTER/USDT 当前的市场深度？」 「以 0.85 的价格下单限价卖 10 个 ASTER。」 「从我的现货账户转 100 USDT 到我的期货账户。」 「显示我的 ZKE 最近交易历史。」
🔗 官方资源 网站：https://zke.com 交互指南：https://support.zke.com/skills/ GitHub 仓库：https://github.com/ZKE-Exchange/zke-trading-sdk 授权：MIT-0。由 ZKE 交易所 AI 部门开发。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制