by 安全扫描
OpenClaw
安全
high confidence该技能的文件和运行时指令与其既定目的（生成主题化的 React TSX 图像组件并渲染 PNG）一致；它需要创建本地工作区并安装 npm 和 Playwright 依赖，这是实现该功能所必需的。
评估建议
该技能在生成基于 token 的 React 图片组件这一目标上内部一致，但在运行前请：
1) 审查并确认工作区变更——脚本会创建 .token-image/ 目录并向项目写入文件。
2) 检查生成的 package.json 及外部 npm 依赖 @zane-chen/token-image（及其传递依赖），再运行 npm install；npm install 可执行任意安装脚本。
3) 注意 SKILL.md 要求运行 `npx playwright install chromium`，这会下载浏览器二进制文件。如需隔离，请在容器、虚拟机或临时分支中运行 init.sh 及安装。
4) 若提供自定义 tokens.json 路径，技能将读取该文件——仅提供可信文件。
5) 如需更严格审查，安装后检查 .token-image/src 与 node_modules 内容，并考虑固定版本或使用审计工具（npm audit、vendor lockfile）后再渲染。...详细分析 ▾
✓ 用途与能力
名称/描述（生成 token-aware 图像组件 → TSX → PNG）与所含资源、prompt 和脚本一致。该技能打包了 design-token 预设、设计指南、writer/reviewer/shared prompt，以及一个 init.sh，用于初始化 .token-image 工作区并安装图像渲染包——全部与构建并渲染 React 图像组件保持一致。
✓ 指令范围
SKILL.md 指示智能体先提问收集信息，可选地运行 scripts/init.sh 创建 .token-image/，复制 token，将 Viewport/styles/components 写入 .token-image/src/，执行渲染管线并目视检查 PNG 输出。所有引用的文件均位于技能包内或生成的 .token-image 工作区。指令不会索取无关的系统文件、凭据或工具安装之外的外部端点。
ℹ 安装机制
没有注册表级别的安装规范，但附带的 scripts/init.sh 会在创建的 .token-image 工作区内执行 `npm install`，SKILL.md 建议运行 `npx playwright install chromium`。这会触发网络下载并执行 npm 包的安装脚本。包 @zane-chen/token-image（在生成的 package.json 中声明）是一个来源不明的外部 npm 包——安装它对渲染是必需的，但伴随常见的 npm 风险（任意安装脚本、第三方代码）。Playwright 会下载浏览器二进制文件。这对该技能的用途是预期行为，但仍需作为运行时/下游风险予以注意。
✓ 凭证需求
该技能不请求任何环境变量、凭据或项目外配置路径，仅在项目本地的 .token-image 工作区内运行。它仅操作项目根目录下的文件（读写 .token-image，并在用户提供时读取用户提供的 token 文件）。不会提出任何过度的密钥或凭据请求。
ℹ 持久化与权限
该 skill 会在项目根目录创建并填充持久工作区文件夹（.token-image/），写入 package.json/tsconfig/src 文件并安装 node_modules。这些持久化的文件系统变更与依赖安装是构建/渲染流程所需，但属于用户应同意的长期修改。该 skill 不会请求系统提权，也不会修改其他 skill 或配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/23
token-image 1.0.0 —— token-image 技能的首发版，用于基于 design token 生成主题化社交/营销图片的 React 组件。 通过结构化多阶段流程引导用户完成图片生成：预检、问答、内容规划、生成。 支持多种图片格式（Twitter 卡片、Instagram 方图、og-image、自定义尺寸）及单图布局/品牌定制。 自动初始化 design token 工作区，导入 token 集合与设计指南。 输出可渲染为 PNG 的 TSX 组件文件，含共享 Viewport、Stylesheet 及单图内容简报。
● 无害
安装命令
点击复制官方npx clawhub@latest install token-image
镜像加速npx clawhub@latest install token-image --registry https://cn.longxiaskill.com