by 安全扫描
OpenClaw
安全
medium confidenceThe skill's code, instructions, and required artifacts align with its stated purpose of querying financial data via a Repilot/ifind API; nothing requests unrelated system access, but the source has no homepage and the token is stored in a local plaintext config file so exercise caution.
评估建议
The skill appears to do what it says: it runs a small Python client that queries repilot.51ifind.com and stores an auth token in ~/.config/ifind-repilot/config.json. Before installing or using it: 1) Verify you trust repilot.51ifind.com and the token-provision process (the SKILL.md references repilot.51ifind.com but there is no homepage listed for the skill). 2) Do not paste sensitive credentials you reuse elsewhere — the token is stored plaintext locally. 3) Do not run --set-url unless you trus...详细分析 ▾
✓ 用途与能力
Name/description, SKILL.md instructions and the included Python script all focus on making HTTP requests to a repilot.51ifind.com API to retrieve financial data. Required binary (python3) and the local config file path (~/.config/ifind-repilot/config.json) are consistent with the stated purpose. The lack of a published homepage or external source URL is noted but does not contradict the declared function.
✓ 指令范围
SKILL.md instructs the agent to generate a natural-language query and call the included script; it does not direct the agent to read unrelated files, environment variables, or system-wide configs. Error handling and retry guidance are constrained to the API errors described. The skill does allow configuration via CLI (--set-token, --set-url), which is expected for a networked API client.
✓ 安装机制
This is an instruction-only skill with a small included Python script and no install spec; no packages are downloaded or extracted during install. The lack of an installer minimizes install-time risk.
ℹ 凭证需求
No environment variables or unrelated credentials are requested. The skill requires a service auth token (stored in ~/.config/ifind-repilot/config.json) — this is proportional to calling a remote API. Notes: the token is stored plaintext in a user config file and the script sends it in an Authorization header (no 'Bearer' prefix). The script also supports --set-url to change the base URL; if mis-set to an attacker-controlled host, the token and queries could be sent elsewhere (changing the URL requires explicit user action).
✓ 持久化与权限
The skill does not request always: true and does not modify other skills or system-wide settings. It writes its own config file under the user's home config directory (~/.config/ifind-repilot), which is normal for a CLI client and within expected scope.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/3/26
- No code or functionality changes; documentation only. - No file changes detected in this version. - SKILL.md updated, but content remains unchanged from previous version. - update py script
● 无害
安装命令 点击复制
官方npx clawhub@latest install ifind-repilot-finance-data-search
镜像加速npx clawhub@latest install ifind-repilot-finance-data-search --registry https://cn.clawhub-mirror.com
技能文档
概述
此 skill 通过自然语言查询金融数据。通过调用封装好的 Python 脚本，向同花顺金融数据接口发送请求，返回半结构化的金融数据。
前置要求
环境依赖
- Python 3.x
- 标准库：
json,urllib,pathlib - 无需安装第三方库
- 注1：若
python3命令不可用（常见于 Windows），请改用python - 注2：
首次配置
首次使用 skill 前，需要先配置认证 token。
- 提示用户先从飞研平台获取 token。平台地址： https://repilot.51ifind.com/ ，菜单路径：业务管理 -> Skills技能库。
- 用户提供token后，运行以下命令配置 token：
python3 /scripts/fetch_data.py --set-token
- 检查 token 是否已配置：
python3 /scripts/fetch_data.py --check-token
注：配置文件位于：~/.config/ifind-repilot/config.json
使用方式
基本查询
python3 /scripts/fetch_data.py "<自然语言查询语句>"
查询示例
| 查询内容 | 命令 |
|---|---|
| 同花顺收盘价 | python3 |
| 茅台股价 | python3 |
| 苹果公司财报 | python3 |
| 上证指数 | python3 |
| 股票对比 | python3 |
返回格式
脚本直接返回查询结果的文本内容，通常是文本与 Markdown 表格格式的组合，示例：
提取数据：数据浏览器
证券代码 证券简称 收盘价（元） 300033.SZ 同花顺 291.74
提取数据：FinQuery
股票代码 股票简称 日期 收盘价:不复权 300033.SZ 同花顺 20250808 287.78
错误处理
| 错误信息 | 原因 | 解决方法 |
|---|---|---|
请先配置 auth_token | 未设置 token | 提示用户获取并发送token，收到token后，运行 --set-token 配置 |
API HTTP 错误 | 请求失败 | 检查网络或 API 地址 |
网络错误 | 无法连接 | 检查网络连接 |
API 返回失败 | 接口返回错误 | 查看具体错误信息 |
API HTTP 错误: 429 | 触发当日请求限制 | 提醒用户到飞研平台检查用量信息 |
API HTTP 错误: 401 | 缺失token或者token无效 | 提醒用户检查token是否正确 |
API HTTP 错误: 403 | 没有权限访问接口 | 没有权限访问接口 |
暂无结果 | 当前问句没有检索到数据，并非token权限问题 | 尝试生成一个新的自然语言查询语句重新查询 |
执行规则
- 先判断用户请求或任务是否需要金融数据检索。
- 若需要金融数据检索，根据用户请求内容与思考，生成一个合适的自然语言查询语句作为参数调用脚本。
- 若问题包含时间范围不明确的财务数据请求，默认查询最近已披露季度或最近财年，并在回答中明确说明默认时间范围。
- 若请求返回未检索到数据、或者返回的数据不符合期望，可以尝试生成一个新的自然语言查询语句重新查询。
- 不要编造任何金融数据。若脚本失败或返回空结果，应明确说明失败原因或未检索到数据。
- 将脚本输出中的关键数据提炼为简洁结论；如有表格，优先保留表格。
- 当出现401、403、429错误时，请勿再重试，直接提醒用户skill返回的错误内容。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制