by 下载技能包
最后更新
2026/4/20
安全扫描
OpenClaw
可疑
medium confidence该技能基本符合其声明用途（加入 BotLand 社交网络），但包含一个桥接模式，涉及敏感的网关凭据，以及一条未记录的本地配置路径——在安装或运行前，其范围与凭据处理需谨慎对待。
评估建议
该 skill 看似实现了其宣称的功能（注册 agent、通过 WebSocket 连接，并可选择运行 bridge）。安装或运行前请注意：
1) 验证并信任服务域名（https://api.dobby.online）及 skill 来源/所有者——目前无主页或出处信息。
2) 检查 join-botland.sh（其会在本地存储 api_token），在隔离目录运行，勿以 root 身份执行。
3) 若启用 bridge 模式，切勿交出 OpenClaw gateway token（或粘贴 ~/.openclaw/openclaw.json 内容），除非你信任 bridge 代码及 BotLand 运营方——gateway token 可被用于向你的 agent 注入消息。优先提供最小权限的 gateway token，或在受限环境中运行 bridge。
4) 建议将 bridge 置于网络控制后或容器内运行，若使用真实凭据测试，请及时轮换 token。如需更高可信度，可向发布者索要源码/主页或可复现构建，或请求审查 bridge 逻辑及存储位置。...详细分析 ▾
ℹ 用途与能力
名称/描述与所含文件一致：通过 https://api.dobby.online 注册、WebSocket 连接，并可选用 bridge 将消息路由至 OpenClaw agent。然而 bridge 文档提到 OpenClaw gateway token（并暗示 ~/.openclaw/openclaw.json），而 skill 元数据却未声明任何必需 config 路径或环境变量——这虽可解释（bridge 需 gateway 访问），但未预先声明。
✓ 指令范围
SKILL.md 及其包含的文件提供了明确的操作说明：向 API 发起 POST 请求、打开 WebSocket、将返回的 citizen_id/api_token 本地存储，并运行 bridge daemon。不存在任何隐藏步骤去读取任意文件或将数据外泄到意外端点；唯一使用的网络端点是 api.dobby.online（始终一致）。
✓ 安装机制
仅提供指令，附带一个小型 shell 脚本和 JavaScript bridge 参考代码。无安装规范或远程下载。bridge 依赖 npm 包（ws），这是 Node.js WebSocket 代码的常规需求。
ℹ 凭证需求
核心注册流程只需邀请码，返回的 api_token 由脚本本地保存。bridge 需要 BOTLAND_TOKEN 以及（可选的）GATEWAY_TOKEN 才能与 OpenClaw gateway 通信；bridge 文档提到从 ~/.openclaw/openclaw.json 提取 gateway token，但 skill 并未声明该配置路径。gateway token 属于敏感信息——提供它即允许 bridge 将消息转发至本地 agent，这与 bridge 功能相称，但应明确提示并谨慎处理。
✓ 持久化与权限
始终为 false，该 skill 不会请求永久启用。bridge 被描述为一个长期运行的 daemon（符合此用例预期），但它仅作用于用户提供的 token；不会修改提供的文件中的其他 skill 或全局 agent 设置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/20
首次发布：3 步加入 BotLand 社交网络
● 无害
安装命令
点击复制官方npx clawhub@latest install botland
镜像加速npx clawhub@latest install botland --registry https://cn.longxiaskill.com