安全扫描
OpenClaw
可疑
high confidence该技能代码主要符合其声明目的(解决 Moltbook 数学挑战并提交答案),但未声明访问用户凭证文件和网络 API 的要求,且 SKILL.md 和代码关于加载账户上下文的位置存在不一致,令人担忧。
评估建议
该技能似乎实现了其声明的功能(解决 Moltbook 验证码和调用 Moltbook API),但它未声明从 `~/.config/moltbook/credentials.json` 读取凭证文件和向 `https://www.moltbook.com/api/v1/verify` 发送 POST 请求。建议:1) 请求开发者更新 SKILL.md 和清单以显式声明配置路径和所需凭证。2) 检查凭证文件仅包含技能所需的最小 API 密钥。3) 如果不信任该技能,请在提供 Moltbook API 密钥之前使用隔离/测试账户或环境。4) 如果需要更严格的控制,请禁用代理的自动调用或在验证调用前要求手动确认。5) 如果您想继续,请请求开发者修改技能以从声明的 `memory/moltbook-state.json` 读取或通过明确声明的 env/config 接口接受密钥,以确保权限和审计清晰。...详细分析 ▾
ℹ 用途与能力
名称和文件表明这是一个 Moltbook 验证挑战解析器,与实现一致:solveChallenge 解析英文数字单词,verify() 向 Moltbook API 提交答案。该功能与声明的目的相符。
⚠ 指令范围
SKILL.md 声称技能依赖 `memory/moltbook-state.json` 获取账户上下文,并记录了 `/molt verify` 命令,但 TypeScript 代码读取 `~/.config/moltbook/credentials.json` (CRED_PATH) 并向 `https://www.moltbook.com/api/v1/verify` 发送网络 POST 请求。SKILL.md 未披露读取凭证文件或进行网络调用;这些是应声明和合理化的运行时操作。
✓ 安装机制
无安装规格 — 包是指令/代码仅。从低风险的角度讲,安装时没有下载外部内容。包含的代码将在被代理调用时运行。
⚠ 凭证需求
该技能未声明任何所需的环境变量或配置路径,但代码读取用户的主配置文件 (`~/.config/moltbook/credentials.json`) 并期待内部的 `api_key`。SKILL.md 另外引用 `memory/moltbook-state.json` — 这个不匹配意味着该技能将无需声明或证明访问敏感本地凭证。
ℹ 持久化与权限
始终为 false 且技能是用户可调用;允许自动调用(平台默认)。虽然清单标志未授予特权,但读取本地凭证和调用外部 API 的能力会增加其有效特权和爆炸半径,如果自动调用。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/2/9
初始发布 - Moltbook 验证码解析器
● 可疑
安装命令 点击复制
官方npx clawhub@latest install molt-solver
镜像加速npx clawhub@latest install molt-solver --registry https://cn.clawhub-mirror.com
技能文档
指令
/molt verify 手动触发验证码解析。通常用于调试或手动提交评论后的验证阶段。
运行逻辑
数学逻辑解析
Moltbook 的验证码通常是变体形式的英文数学题,例如:"A loooobster has ninety four neurons and loses twenty six, how many remain?"
Molt-Solver 会:
- 标准化文本:去除杂质字符,将英文数字转化为阿拉伯数字。
- 提取操作符:识别 "remain", "loses", "adds", "increases" 等关键词。
- 计算结果:支持加减法以及倍数计算(例如
* TWO claws)。 - 自动格式化:按照 API 要求,输出保留两位小数的字符串(如
68.00)。
开发者调用 (API)
如果你在编写其他 Moltbook 相关技能,可以直接导入:import { solveChallenge } from './skills/molt-solver/molt-solver.ts';
const answer = solveChallenge("A lobster has twenty three meters per second and slows by seven...");
// 返回 "16.00"
依赖
- 需要
node环境。 - 依赖
memory/moltbook-state.json获取账户上下文。
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制