by 安全扫描
OpenClaw
安全
high confidence该技能的说明、要求和安装步骤与 Pipeliner CRM 集成保持一致，将认证和 API 调用委托给 Membrane CLI/服务；所请求的内容均与所述目的相关。
评估建议
此技能将身份验证与 API 调用委托给 Membrane 服务，需安装第三方 npm CLI 并通过 Membrane 完成认证。安装或使用前：1）在 npm/GitHub 核实 @membranehq/cli 包及项目仓库（完整性、维护者、近期活动）；2）查阅 Membrane 隐私/安全文档及其为 Pipeliner 账户请求的 OAuth 权限；3）优先使用最小权限或测试 Pipeliner 账户，而非管理员账户；4）若不愿全局安装 npm 包，可在容器/VM 运行 CLI 或每次用 npx；5）若不希望外部委托，可选用直接调用 Pipeliner API 并在本地管理凭证的技能。总体而言，该技能功能合理，但你必须信任 Membrane 作为管理 CRM 凭证的中介。...详细分析 ▾
✓ 用途与能力
名称/描述（Pipeliner CRM integration）与说明一致：该技能依赖 Membrane CLI 连接并执行针对 Pipeliner 的操作，未请求无关的凭据、二进制文件或配置路径。
ℹ 指令范围
SKILL.md 保持在预期范围内：它指导安装 Membrane CLI、通过 Membrane 服务登录、为 pipeliner-crm 创建连接器、发现并运行操作。它不会请求读取无关文件或拉取无关密钥。注意：运行时流程会打开浏览器（或使用无头认证码），并依赖 Membrane 在服务端处理凭据，这需要信任该外部服务。
ℹ 安装机制
这是一个仅提供说明的技能（无安装规范）。说明要求用户运行 `npm install -g @membranehq/cli@latest`，这是安装所引用 CLI 的常规方式，但会带来安装全局 npm 包的一般中度风险。该包来自公共 npm 生态，用户应在系统范围安装前验证其来源。
✓ 凭证需求
该技能未声明任何必需的环境变量或本地密钥。其文档中的认证模型将凭证交由 Membrane（服务器端）处理，且技能明确建议不要向用户索取 API 密钥——这与所述目的相符。
✓ 持久化与权限
该技能未请求 'always: true'，也未声明任何系统配置写入。默认允许 Agent 自主调用，但未与其他敏感权限结合使用。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/21
从 membranedev/application-skills 自动同步
● 无害
安装命令
点击复制官方npx clawhub@latest install pipeliner-crm-integration
镜像加速npx clawhub@latest install pipeliner-crm-integration --registry https://cn.longxiaskill.com