by 安全扫描
OpenClaw
安全
high confidence该技能的代码、指令和需求与一款基于 PDF 的合同风险提取工具一致，该工具调用兼容 OpenAI 的 API，并可选择准备 Feishu 通知；没有任何迹象表明存在隐藏的数据外泄或无关权限。
评估建议
该技能与其描述内部一致，但在安装或使用前请检查以下事项：
- 调用函数时必须提供 OpenAI 兼容的 API key；合同文本将发送至该外部模型端点，请确保提供商及使用方式符合您的保密要求。
- 该包依赖 Python 库（openai client、PyMuPDF/fitz、pdfplumber）。注册元数据中无安装脚本，请确保运行时环境中已具备这些依赖。
- 技能会准备飞书通知，但需由 agent/platform 使用 feishu_im_user_message 工具并借助平台管理的飞书凭证实际发送——如需推送通知，请确认已集成飞书并拥有对应用户的 open_id。
- 基于正则表达式的风险检查可能出现误报/漏报；结果仅供参考，不构成法律建议（技能已包含相同免责声明）。
- 若需更高保障，请在本地审查/扫描所含 Python 文件，并在受控环境中运行提供的测试，再用于真实合同。...详细分析 ▾
✓ 用途与能力
名称/描述（contract risk analysis）与所包含的代码和说明一致：PDF 提取、合同类型检测、基于 AI 的字段提取、基于正则表达式的风险标注、Markdown/Excel 报告生成以及 Feishu 卡片构建。所需凭据（OpenAI 兼容的 api_key）在代码和 SKILL.md 中于调用时请求，符合所述 AI 提取目的。
ℹ 指令范围
SKILL.md 及脚本指示 agent：从本地 PDF 提取文本，使用用户提供的 api_key 将文本发送至 OpenAI 兼容 API，在本地标注风险，并生成 Feishu 卡片，供 agent 通过平台的 feishu_im_user_message 工具发送。此行为在预期范围内。注意：skill 会将合同文本发送至外部 API（按设计），用户应知晓合同内容会被传输至其所配置的模型端点。
ℹ 安装机制
没有安装规范（仅从注册表角度看是“仅指令”），但软件包内含多个会引入第三方库（openai、fitz/PyMuPDF、pdfplumber、测试中的 pytest）的 Python 模块。这本身一致，却意味着运行时主机必须提供这些依赖；缺少安装步骤并非恶意，但若依赖缺失将导致运行时错误。
✓ 凭证需求
该技能未在注册元数据中请求系统环境变量或其他凭据。它要求将 API key 参数传入函数（api_key）以调用 AI 提供商，这与描述的功能成正比。Feishu notifier 仅准备卡片载荷，本身不含 Feishu 凭据——应由代理/平台工具使用平台托管的凭据完成实际发送（与文档一致）。
✓ 持久化与权限
该 skill 不请求持久或提升权限（always:false）。代码与文档声明，合约内容不会被存储，处理后即删除；无代码写入非预期系统路径或修改其他 skill。不存在始终启用的自主行为。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/20
contract-risk-analyzer 1.0.1 - 增强 Feishu 通知集成，附带详细 agent 指令与优雅降级。 - 更新飞书推送示例与集成指南，明确 feishu_im_user_message 工具调用方式及降级策略。 - scripts/feishu_notifier.py：函数名调整（如 send_risk_report → send_feishu_notification）及参数，使推送接口更清晰一致。 - 文档同步更新，进一步规范输出与消息推送流程说明。
● 无害
安装命令
点击复制官方npx clawhub@latest install contract-risk-analyzer
镜像加速npx clawhub@latest install contract-risk-analyzer --registry https://cn.longxiaskill.com