安全扫描
OpenClaw
可疑
medium confidence该技能实现中国天气报告,读取 workspace TOOLS.md 中的凭据,但存在多个不一致和误导性声明(如存储加密、配置文件访问、缺失脚本、默认外部邮件收件人),使用前需谨慎。
评估建议
该技能基本实现了获取天气数据和邮件/通知功能,但有几个需要考虑的红旗:- 不要假设密钥加密存储;- 验证凭据读取位置;- 注意默认收件人;- 包含缺失文件;- 不推荐放宽主机白名单。推荐行动:1. 检查脚本;2. 将凭据移到安全存储;3. 限制 TOOLS.md 内容;4. 在隔离环境中运行;5. 自动化使用时确保明确确认邮件发送。...详细分析 ▾
ℹ 用途与能力
功能与声明一致,但元数据和注册表列出的配置路径与运行时代码读取的文件不一致,表明包装或声明有问题。
⚠ 指令范围
SKILL.md 指导编辑 TOOLS.md 并声称敏感数据加密存储,但脚本以明文方式读取。指令引用了不存在的文件/脚本,脚本从工作空间根目录读取 TOOLS.md,可能暴露用户的秘密。
✓ 安装机制
无安装规格(仅指令和捆绑脚本),安装风险最低。脚本使用 'requests' 库(网络调用),安装过程中无下载或提取操作。
⚠ 凭证需求
技能要求用户在 TOOLS.md 存储 API 密钥和邮箱授权码,而不是使用单一服务特定凭据变量。注册表声明的配置路径与实际机制不匹配。技能请求邮箱密码/授权码(敏感),默认发送报告到硬编码的 QQ 地址,可能导致信息泄露。SKILL.md 还推荐放宽主机白名单(添加 '*'),这会削弱 API 密钥安全。
ℹ 持久化与权限
正常设置(always:false,agent-autonomy 未禁用)。技能不请求持久平台权限,不修改其他技能。但它读取技能目录外的工作空间级文件(TOOLS.md),授予访问用户放在那里的一切的权限,用户应注意这一权限。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.22026/3/4
无代码更改。SKILL.md 文档扩展,添加了详细使用指南、安全指南、天气代码表等。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install cn-weather
镜像加速npx clawhub@latest install cn-weather --registry https://cn.clawhub-mirror.com
技能文档
# 中国天气技能 (CN Weather) 使用和風天气 (QWeather) API 获取中国城市的实时天气和预报数据。 ✨ 特性: - 🔄 双 API 支持(和风天气 + Open-Meteo 自动降级) - 📧 邮件推送 - 📅 3 天天气预报 - 🏙️ 多城市支持 ... (中间内容省略,仅保留部分示例) ... 最后更新: 2026 年 3 月 4 日 安全状态: ✅ 敏感信息已加密存储至 TOOLS.md
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制