by 安全扫描
OpenClaw
可疑
medium confidence该技能的指令要求代理安装并运行第三方 CLI，并请求并存储 API 密钥，但注册表元数据中未提及这些要求，且指令要求助手收集机密——这些不一致之处和收集机密的指令与该技能声明的功能范围不相称。
评估建议
此技能要求代理安装并运行第三方 npm CLI，并请求并保存 dlazy API 密钥，但注册元数据未声明这些要求。在安装或使用前：（1）确认你信任发布者和 dlazy.com；（2）检查 @dlazy/cli 包源码（或避免全局 npm 安装）以确保其不会泄露数据；（3）切勿在聊天中粘贴 API 密钥——应本地设置凭据（例如在安全终端自行运行 `dlazy auth set <key>`）或通过安全环境变量提供，并验证 CLI 如何/在何处存储令牌；（4）优先选择预先声明所需二进制文件和认证的技能。若继续，避免直接向助手提供机密，并先验证 npm 包。...详细分析 ▾
ℹ 用途与能力
所声明的用途（通过 ffmpeg 进行场景分割）对“video-scenes”技能而言是合理的，但 SKILL.md 还提到了场景级视频理解和 dlazy CLI。顶层注册字段未列出任何二进制文件、环境变量或安装步骤，而 SKILL.md 的元数据却要求 npm/npx 并执行 npm install @dlazy/cli@1.0.5——这一不匹配既出乎意料，也未作解释。
⚠ 指令范围
运行时指令要求 agent 运行外部 'dlazy' CLI，并附带显式行为：向用户索取 API 密钥，并通过 `dlazy auth set <key>` 保存。这导致 agent 需索要并持久化密钥，还能执行任意 CLI 命令——范围已超出单纯调用 ffmpeg 或拆分本地视频。SKILL.md 也存在矛盾，部分地方称“无需理解视频内容”，别处却提到“场景级理解”。
ℹ 安装机制
注册表中没有顶层安装规范，但 SKILL.md 元数据推荐 `npm install -g @dlazy/cli@1.0.5` 并要求 npm/npx。安装第三方 npm CLI 属于中等风险行为（公共注册表、可追踪），但该安装要求未在技能元数据层面声明——这一不一致需在信任自动安装前解决。
⚠ 凭证需求
指令明确要求 agent 向用户获取并存储 dlazy API key，但该 skill 未声明任何必需的环境变量或主凭证。在未声明认证模型的情况下，要求助手向用户索取并存储密钥属于过度行为，且会提高密钥意外泄露的风险。
ℹ 持久化与权限
该 skill 未设置 always:true，也未声明提升的平台权限；但它指示 agent 通过 `dlazy auth set <key>` 持久化凭据（会将认证信息写入磁盘或 CLI 配置）。对基于 CLI 的 skill 来说，持久化自身 token 是合理的，但由于此行为未在 registry 元数据中声明且涉及写入机密，需谨慎对待。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/22
dlazy-video-scenes 初始版本发布。 - 基于 ffmpeg 的场景分割工具，可检测并将视频拆分为场景片段。 - 返回场景片段 URL，不进行视频内容理解。 - 提供命令行界面，支持多种输入与输出选项。 - 输出结构化 JSON，便于集成。 - 完善的错误处理与用户指引，涵盖认证与余额问题。
● 无害
安装命令
点击复制官方npx clawhub@latest install dlazy-video-scenes
镜像加速npx clawhub@latest install dlazy-video-scenes --registry https://cn.longxiaskill.com
技能文档
场景分割工具：使用 ffmpeg 检测并将视频按场景切分为片段，仅返回片段 URL，不做视频内容理解。
触发关键词
- video-scenes
用法
代理关键指令：执行dlazy video-scenes 获取结果。
``bash
dlazy video-scenes -h
选项：
--video 视频（URL）[video: url 或本地路径]
--durationSeconds 片段时长（秒）
--input JSON 载荷：内联字符串、@文件 或 -（stdin）
--dry-run 打印载荷 + 费用估算，不调用 API
--no-wait 立即返回 generateId，用于异步任务
--timeout 异步完成最大等待秒数（默认："1800"）
-h, --help 显示命令帮助
` 输出格式
`json
{
"ok": true,
"kind": "text",
"data": {
"text": "..."
}
}
` 示例
`bash
dlazy video-scenes --prompt '提示内容'
` 错误处理
| 代码 | 错误类型 | 示例信息 |
| ---- | ------------------ | ------------------------------------------------------------------------------------------------ |
| 401 | 未授权（无 API Key） | ok: false, code: "unauthorized", message: "API key is missing or invalid" |
| 501 | 缺少必需参数 | error: required option '--prompt ' not specified |
| 502 | 本地文件读取错误 | Error: Image file/Video file not found: C:\path\to\your\file |
| 503 | API 请求失败（余额不足） | ok: false, code: "insufficient_balance" |
| 503 | API 请求失败（服务器错误） | HTTP status code error (500 server crash) |
| 504 | 异步任务执行失败 | === Generation Failed === / {后端返回的具体错误原因，例如 "Prompt violates safety policy"} | 代理关键指令：code: "insufficient_balance"
1. 若返回，必须明确告知用户余额不足，并引导充值：https://dlazy.com/dashboard/organization/settings?tab=creditscode: "unauthorized"
2. 若返回或提示缺少 API key，必须告知用户前往 https://dlazy.com/dashboard/organization/api-key 获取并发送给你。收到后使用dlazy auth set ` 保存，再继续任务。