by 安全扫描
OpenClaw
可疑
high confidence代码与描述的飞书功能大致匹配，但存在不一致/缺失的声明（环境变量和依赖），脚本打印令牌并接受任意本地文件 — 请审查源代码/来源并在安装前限制凭证。
评估建议
["来源验证：未知来源，请仅在信任发布者或能自行托管/检查代码时安装。","凭证：脚本需要 FEISHU_APP_ID 和 FEISHU_APP_SECRET，但元数据未声明 — 除非了解范围，否则不要提供租户范围管理员凭证。建议创建具有最小写入范围的应用，并在非生产租户中测试。","依赖与运行时：脚本依赖 'feishu-markdown' 和 fetch 的可用性，未提供安装指令 — 请手动安装 npm 包并审查依赖。","令牌泄漏：脚本将令牌和 API 响应记录到 stdout — 确保日志不发送到外部日志聚合器或共享渠道，或者修改代码以避免打印令牌。","文件访问：工具接受任意本地文件路径 — 仅使用您打算暴露的文件，并避免在包含机密信息的目录中或使用高权限运行。","推荐行动：如果要使用，请获取仓库，审查脚本和依赖，在隔离环境（短暂容器）中使用最小权限 Feishu 应用，并考虑添加明确的文档或安装脚本以固定依赖并记录使用的确切环境变量（包括 FEISHU_BASE_URL）。如果无法验证源，请将其视为不可信任的代码，不提供生产凭证。"]...详细分析 ▾
ℹ 用途与能力
技能名称/描述与包含的调用 Feishu API 的脚本一致，但注册元数据未声明所需环境变量，而 SKILL.md 和所有三个脚本都需要 FEISHU_APP_ID 和 FEISHU_APP_SECRET — 明显的不匹配。代码还使用未在元数据中声明的 FEISHU_BASE_URL（覆盖）和第三方模块 'feishu-markdown'。
ℹ 指令范围
运行时指令和脚本保持在声明的目的范围内：读取用户提供的本地文件（Markdown 或代码文件）并调用 Feishu Open API 端点创建白板、表格和块。注意事项：脚本将令牌和 API 响应打印到 stdout（可能将 tenant_access_token 或创建的资源令牌泄漏到日志中），并接受任意 --markdown-file / --code-file 路径 — 如果代理在没有仔细验证参数的情况下运行这些脚本，它可能会读取用户未意图暴露的本地文件。捆绑代码中没有隐藏的外部端点；网络调用目标为 BASE_URL（默认 open.feishu.cn），但可以通过环境变量覆盖该基本 URL。
⚠ 安装机制
没有安装规范（仅指令），这降低了磁盘写入风险。然而，包中包括依赖外部包（特别是 'feishu-markdown'）和运行时中 fetch 的全局可用性的 Node.js 脚本。这些依赖项未在注册元数据或 SKILL.md 安装指令中声明，这是一种不一致：运行脚本可能会失败，或者需要从 npm 安装第三方包。明确的、可审计的安装步骤的缺乏增加了操作员运行临时命令以满足缺失依赖的可能性。
⚠ 凭证需求
请求 FEISHU_APP_ID 和 FEISHU_APP_SECRET 对于 Feishu 集成是合理的。但注册元数据宣称没有所需环境变量，而 SKILL.md 和所有脚本都需要 FEISHU_APP_ID 和 FEISHU_APP_SECRET（以及可选的 FEISHU_BASE_URL）。技能还将令牌打印到 stdout（tenant_access_token 和创建的资源令牌），这可能将机密信息暴露在日志中；此行为未作为警告进行文档记录。声明的主要凭证为 'none'，而代码明显依赖于应用凭证 — 这个不匹配是红旗。
✓ 持久化与权限
always:false，并且没有指示技能修改其他技能或系统范围的代理设置。它不请求永久存在或提升的平台权限。默认启用自主调用，但未与其他令人担忧的因素结合。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/2/25
添加了 _meta.json 文件到项目中。没有其他对核心功能或文档的更改。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install feishu-advanced-builder
镜像加速npx clawhub@latest install feishu-advanced-builder --registry https://cn.clawhub-mirror.com
技能文档
简介
飞书高阶构建器，提供深度结构化能力，包括原生画板一键生成、多维表格数据操控、Markdown 到飞书原生 Block 树的无损转化，适用于研发 DevOps 流转、架构图自动绘制及重度排版文档生成。使用指南
- 安装：
- 配置：
FEISHU_APP_ID、FEISHU_APP_SECRET 和可选的 FEISHU_BASE_URL 环境变量。
- 运行：
注意事项
- 仔细审查脚本和依赖，以避免安全风险。
- 避免在日志中泄漏令牌。
- 仅使用意图暴露的文件。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制