by 安全扫描
OpenClaw
可疑
medium confidence该技能看似正常的CLI身份验证助手，但包内不一致（引用未声明或包含的CLI和共享文档），因此在信任之前请验证其来源和缺失部分。
评估建议
此技能似乎是为'lfi' CLI的指令适配器，管理本地密钥和~/.liberfi中的JWT。安装或使用前：1) 验证'liberfi'项目和其CLI（https://liberfi.io）合法性和发布者信任度；2) 确保'lfi'二进制文件来自可信源；3) 确认您对写入~/.liberfi/keys/default.json（0600）和~/.liberfi/session.json的本地私有P-256密钥感到舒适；4) 请求作者/发布者修复包元数据以声明'lfi'二进制依赖或包含明确的可验证安装说明；5) 如果计划在自动化代理中运行，请遵循技能建议使用密钥登录并永不阻塞OTP。如果无法验证CLI来源或缺失的引导说明，请将包视为不可信任。...详细分析 ▾
ℹ 用途与能力
SKILL.md 清楚地描述了基于 'lfi' CLI 的身份验证流（基于密钥和电子邮件OTP的登录）以及位于 ~/.liberfi 的本地会话/密钥文件，这与声明的用途一致。然而，技能注册元数据未列出所需的二进制文件或安装步骤，而运行时指令依赖于 'lfi' 可执行文件并引用共享的 bootstrap.md。注册元数据中的主页字段列为 'none'，但 SKILL.md 元数据包括 'https://liberfi.io' — 这些不匹配降低了信心。
ℹ 指令范围
指令明确读写敏感本地文件 (~/.liberfi/session.json, ~/.liberfi/keys/*.json) 并调用网络端点 (/v1/auth/key)。这对于身份验证CLI来说是预期行为。SKILL.md 还指示自动化代理始终使用密钥登录并永不阻塞OTP，这是合适的。担忧：它引用 ../shared/bootstrap.md 进行CLI安装，但该文件不在包中，因此代理可能缺乏安装/连接指南。
⚠ 安装机制
没有安装规范（仅指令），一般来说风险较低 — 但 SKILL.md 需要 'lfi' CLI 并指向外部 bootstrap.md。技能没有声明 'lfi' 二进制文件为必需的，也没有在注册元数据中包含安装说明或链接。这种差距是不一致的：注册元数据应声明二进制依赖，或者指令应嵌入安装步骤或可信的下载链接。
✓ 凭证需求
技能在注册元数据中未请求环境变量或外部凭证。SKILL.md 依赖于本地密钥文件和CLI从LiberFi服务器获取JWT — 这对于身份验证助手来说是合理的。未请求无关的秘密或配置路径。
✓ 持久化与权限
技能不是始终启用，并且不请求提升的平台权限。它将会话和密钥文件存储在用户的主目录下，如CLI身份验证流所预期。没有证据表明它修改了其他技能或全局代理配置。
安装前注意事项
- 验证来源 — 确认 'liberfi' 项目及其CLI（https://liberfi.io）合法性和发布者信任度；
- 确保 'lfi' 二进制文件来自可信源（SKILL.md 引用未包含的 bootstrap.md）；
- 确认您对写入 ~/.liberfi/keys/default.json（0600）和 ~/.liberfi/session.json 的本地私有P-256密钥感到舒适；
- 请求作者/发布者修复包元数据以声明 'lfi' 二进制依赖或包含明确的可验证安装说明；
- 如果计划在自动化代理中运行，请遵循技能建议使用密钥登录并永不阻塞OTP。如果无法验证CLI来源或缺失的引导说明，请将包视为不可信任。
- If you plan to run this in an automated agent, follow the skill's advice to use key login and never block on OTP. If you cannot verify the CLI's origin or the missing bootstrap instructions, treat the package as untrusted.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/3
初始发布 — LiberFi CLI身份验证技能。- 支持基于密钥（用于代理/自动化）和电子邮件OTP（用于人类用户）登录模式。- 处理会话管理：存储和自动刷新JWT令牌，管理本地P-256密钥材料。- 提供命令检查身份验证状态、登录、验证OTP、显示用户配置文件和注销。- 成功身份验证后分配EVM和Solana TEE钱包；所有链上签名由服务器完成。- 强调安全性：敏感文件存储具有严格权限，私钥永不传输。
● Pending
安装命令 点击复制
官方npx clawhub@latest install liberfi-auth
镜像加速npx clawhub@latest install liberfi-auth --registry https://cn.clawhub-mirror.com
技能文档
（由于原始内容未提供SKILL.md的具体内容，此处无法直接翻译。以下为示例，如果您提供SKILL.md内容，我可以帮助翻译）
# Liberfi Auth 技能
简介
Liberfi Auth 是一个用于与 LiberFi 服务身份验证的技能，支持基于密钥和电子邮件OTP的登录模式。使用指南
- 注册：运行
lfi register命令注册新账户。 - 登录：使用
lfi login --key（基于密钥）或lfi login --otp（基于OTP）登录。 - 会话管理：技能自动管理JWT令牌和本地P-256密钥材料。
命令
lfi status：检查身份验证状态lfi logout：注销当前会话
注意：请确保从可信源安装 lfi 二进制文件，并了解本地文件的存储位置和权限。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制