by 安全扫描
OpenClaw
可疑
medium confidence该技能的代码基本符合其声明的目的（本地屏幕共享 + 分析），但通过未经认证的本地/局域网服务器暴露捕获的帧（CORS '*'），写入 /tmp 图像，并读取本地 Clawdbot 配置，这些行为增加了意外数据暴露的风险，并且没有得到充分的证明或文档支持。
评估建议
该技能似乎实现了其声明的功能，但在安装或运行之前，请考虑以下风险：
- 本地服务器暴露：后端设置 Access-Control-Allow-Origin: '*'，默认在 LAN IP/端口 18795 上提供服务。如果您将该端口暴露给 LAN，其他 LAN 用户（或网络中的恶意软件）可以在无需认证的情况下提交帧或与端点交互。建议仅绑定到 localhost 或添加认证令牌。
- 未经认证的帧存储：捕获的帧写入 /tmp/clawdbot-screen-latest.png（以及元数据写入 /tmp）。这些文件可以被其他本地用户/进程读取。如果您有敏感的屏幕内容，请不要在共享机器上运行它。
- 操作系统截屏和系统命令：screen-analyze.sh 脚本可以调用操作系统级的截屏工具，并将调用 'clawdbot 代理' 来分析图像。确保您信任技能源代码之前，让它截屏或访问代理运行时。
- 配置和网络访问：env-check.sh 读取 Clawdbot 配置，可能会联系视觉模型端点（默认 localhost:8080）。验证此行为是否可接受，并且不会查询或泄露任何敏感端点。
- 如...详细分析 ▾
✓ 用途与能力
技能名称/描述（屏幕共享 + 视觉分析）与包含的文件一致：本地 WebRTC 网页、存储帧的小 Node.js 后端以及捕获和分析截屏的帮助脚本。浏览器扩展路径用于更深入的控制，与声明的 '完全控制' 模式一致。
⚠ 指令范围
运行时指令调用包含的脚本，这些脚本（a）读取 Clawdbot 配置（引用/env-check.sh），（b）可能捕获操作系统截屏（screen-analyze.sh 使用 'import' 或 'screencapture'），（c）调用 'clawdbot 代理' 来分析图像。这些操作超出了简单地提供共享页面，还授予访问本地文件、系统捕获工具和代理配置的权限。技能没有声明或警告关于在所有情况下读取代理配置或捕获操作系统截屏。
ℹ 安装机制
没有安装规格（仅指令）降低了安装风险，但该包包括可执行脚本和 Node.js 后端文件，用户可以运行这些文件。没有自动安装程序，因此风险取决于代理/平台如何执行这些文件；Node 服务器的存在意味着代理或用户将在主机上运行 node。
ℹ 凭证需求
技能声明没有必需的环境变量或外部凭证，这是合理的。然而，env-check.sh 脚本读取 Clawdbot 配置（clawdbot config get skills.screen-monitor.visionUrl），并将尝试使用 curl 调用视觉模型端点（默认 http://localhost:8080）。访问本地代理配置和调用本地网络端点在清单字段中没有声明，用户应该考虑这一点。
ℹ 持久化与权限
技能不是始终启用，并且不请求提升的平台特权。然而，它在端口 18795 上运行本地服务器，并将帧写入 /tmp，这些文件将在被删除之前保持在本地。自动模型调用保持平台默认 —— 将其与捕获操作系统截屏和运行 'clawdbot 代理' 的能力结合起来，如果没有用户仔细同意，就会在调用技能时得到更大的影响范围。
安装前注意事项
- 验证此行为是否可接受，并确保不会查询或泄露任何敏感端点。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/1/19
更新了 manifest.json 和 README.md（SKILL.md）以进行小幅改进。技能或使用说明没有功能性变化。
● 无害
安装命令 点击复制
官方npx clawhub@latest install screen-monitor
镜像加速npx clawhub@latest install screen-monitor --registry https://cn.clawhub-mirror.com
技能文档
简介
该技能实现了双模式屏幕共享和分析，支持多种模型（Gemini、Claude、Qwen3-VL）。使用指南
- 安装：无自动安装程序，用户需手动运行包含的脚本和 Node.js 后端文件。
- 运行：执行脚本启动本地 WebRTC 网页和 Node.js 后端。
- 注意：请参考安全评估和建议，以确保安全运行。
技能代码
# 示例脚本运行命令
node backend-endpoint.js
重要安全提示：请阅读 cn_scan_assessment 和 cn_scan_advice 以了解并缓解潜在安全风险。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制