by 下载技能包
最后更新
2026/4/22
安全扫描
OpenClaw
可疑
medium confidence该技能看似实现了一个简单的习惯追踪器，但 manifest 与文档对所需工具（提到 curl、clawhub 和 npx）的说法不一致，且无源码/主页——这些不一致之处值得警惕。
评估建议
此技能的文件看似一个简单的习惯追踪器，却存在无法解释的不一致：manifest 里列出了 curl，文档却要求通过 npx 安装名为 clawhub 的 CLI，且没有源码或主页可供验证。在安装或运行命令前：1）向发布者索要官方源码（GitHub 或包页面）和主页；2）在运行 npx 前，先核实 clawhub npm 包（维护者、代码及网络行为）；3）确认习惯数据存储位置，以及云同步是否需要凭据——在了解端点和认证方式前不要提供任何密钥；4）如必须测试，请在隔离环境（VM 或容器）中运行并监控网络流量。若发布者无法解释为何需要 curl 或无法提供源码，请谨慎对待此技能。...详细分析 ▾
⚠ 用途与能力
SKILL.md 通过 'clawhub' CLI（clawhub habit add/checkin/stats）展示运行时用法，README 建议用 'npx clawhub@latest install habit-tracker' 安装。但顶部 registry 元数据声明“无需二进制文件”，而 _meta.json 却列出 'curl'。文档未解释为何需要 'curl'，也未声明真正的运行时依赖 'clawhub'——声明的需求与技能文档所述不符。
ℹ 指令范围
SKILL.md 仅指示运行 'clawhub' CLI 并使用与习惯相关的命令（无直接文件读取或环境变量访问）。然而，它未说明用户数据存储位置，也未解释“提醒通知”/“云同步”如何运作——这些功能可能涉及网络活动或由 clawhub CLI 调用的外部服务，而 skill 并未记录这些内容。
⚠ 安装机制
技能包中没有正式的安装规范（仅含说明），但 README 建议使用 `npx clawhub@latest` 安装。npx 会从 npm registry 下载并运行代码；由于没有声明来源或主页，也没有包出处，这带来风险。此外，`_meta.json` 要求使用 `curl` 的原因未作说明。
ℹ 凭证需求
该 skill 声明无需环境变量或凭据（良好），但功能描述（云同步、通知、定价层级）暗示存在后端服务及可能的凭据——却未声明或说明。这种不一致可能掩盖了必需的密钥或外部端点。
✓ 持久化与权限
该技能未请求持久“始终”包含，且包内无安装时脚本。作为纯指令型技能，它自身无法写入文件；不过其调用的外部 'clawhub' CLI 可能会创建/配置本地文件——技能包不会尝试修改其他技能或系统设置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/22
habit-tracker 首发版本 - 每日打卡追踪习惯 - 查看习惯统计与分析 - 连续打卡解锁成就 - 提醒通知 - 导出习惯数据 - 支持免费、Pro 与订阅版本
● 无害
安装命令
点击复制官方npx clawhub@latest install xiao-habit-tracker
镜像加速npx clawhub@latest install xiao-habit-tracker --registry https://cn.longxiaskill.com
技能文档
# Habit Tracker 习惯追踪工具，帮助建立和保持好习惯。 ## 功能 - ✅ 习惯打卡 - ✅ 统计分析 - ✅ 成就系统 - ✅ 提醒通知 - ✅ 数据导出 ## 使用 ``bash # 添加习惯 clawhub habit add --name "早起" --frequency daily # 打卡 clawhub habit checkin --name "早起" # 查看统计 clawhub habit stats --name "早起" --days 30 # 查看成就 clawhub habit achievements `` ## 定价 | 版本 | 价格 | 功能 | |------|------|------| | 免费版 | ¥0 | 3 个习惯 | | Pro 版 | ¥29 | 无限习惯 | | 订阅版 | ¥6/月 | Pro+ 云同步 |