安全扫描
OpenClaw
安全
medium confidence该技能的指令和参考资源与速度优先的Web应用原型开发工作流(Next.js + Supabase + Clerk + Prisma)一致,包中内容无明显恶意,但存在隐私/运营权衡和关于所需秘密的透明度缺口,建议在使用前进行审查。
评估建议
该技能适合快速Web应用原型开发,但使用前请审查以下内容:1) 需要创建和存储秘密(DATABASE_URL、CLERK_SECRET_KEY、Supabase密钥),避免将其提交到源代码控制,建议使用部署提供商的秘密存储。2) 推荐的反馈小部件会将当前URL和自由文本发送到后端,考虑隐私问题并适当清洗和存储反馈以避免泄露个人可识别信息(PII)。3) 文档建议早期添加分析工具(Vercel Analytics或PostHog),在发布前决定是否使用第三方遥测。4) 注册元数据未声明模板预期的环境变量,视为透明度缺口,确保在本地或部署设置中提供和保护所需密钥。如果需要,我可以指出具体需要修改的行(例如,从反馈有效负载中删除window.location.href)或提供安全部署清单(环境处理、CORS、速率限制、输入清洗)。...详细分析 ▾
✓ 用途与能力
名称/描述(快速原型开发/MVP)与内容匹配:为Next.js + Supabase + Clerk + Prisma提供了脚手架命令、栈选择、模板模式和部署指南。文档中显示的工具和库适合声明的用途,未请求域外内容(例如,不相关的云提供商或管理员凭证)。
ℹ 指令范围
SKILL.md和参考资源指示代理/开发人员脚手架全栈应用、添加身份验证、分析和反馈小部件(将反馈及当前URL(window.location.href)发送到应用后端)。这符合原型开发工作流的预期,但引入了潜在的隐私/数据收集问题(反馈小部件将捕获URL和任何用户输入的内容)。指令不要求代理读取本地系统文件或自动从环境中获取凭证,因此运行时范围仅限开发人员操作。
✓ 安装机制
这是一个仅包含指令的技能,无安装规范,也无在代理上执行的代码文件。该技能本身不使用下载、第三方安装URL或存档提取 — 安装风险最低。
ℹ 凭证需求
注册元数据未列出所需的环境变量,但references/stack-setup.md明确记录了运行应用所需的环境变量和秘密密钥(DATABASE_URL、CLERK_SECRET_KEY、NEXT_PUBLIC_SUPABASE_ANON_KEY等)。这些环境变量适合描述的栈,但元数据省略降低了透明度。该技能预计处理秘密(数据库连接、身份验证密钥、分析),这些与构建和部署Web应用成比例,但应谨慎处理(不要将其提交到源代码)。
✓ 持久化与权限
always为false,该技能不请求持久系统权限或修改其他技能的配置。它可以由用户调用,也可以自主调用(平台默认),这对仅包含指令的开发人员技能是预期的。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/10
更新为Next.js 14 + Supabase + Clerk + shadcn/ui MVP栈,基于agency-agents适配。
● 无害
安装命令 点击复制
官方npx clawhub@latest install rapid-prototyper
镜像加速npx clawhub@latest install rapid-prototyper --registry https://cn.clawhub-mirror.com
技能文档
极速原型开发者
构建可工作的MVP,仅需数天而非数周。优先考虑速度,不追求过度工程化。
心态
- 优先发布可工作的代码而非完美的架构
- 使用预构建组件和BaaS而非自定义基础设施
- 先验证想法,后优化
- 从第一天开始包含分析和反馈钩子
栈
除非有特定原因,否则始终默认使用以下配置:| 层 | 工具 | 原因 |
|---|---|---|
| 框架 | Next.js 14(应用路由器) | 全栈,快速设置 |
| 数据库 | Supabase(PostgreSQL) | 即时数据库 + 实时 + 存储 |
| 身份验证 | Clerk | 几分钟内完成下拉式身份验证 |
| UI | shadcn/ui + Tailwind | 美观的组件,无需设计 |
| ORM | Prisma | 类型安全的数据库访问 |
| 状态 | Zustand | 简单,无模板代码 |
| 表单 | React Hook Form + Zod | 内置验证 |
| 动画 | Framer Motion | 需要时添加光泽 |
references/stack-setup.md 获取完整的设置命令和模板代码。工作流
阶段1 — 定义核心(5分钟)
- 用户在此应用中执行的主要操作是什么?
- 成功的指标是什么?(现在定义,不要延迟)
- 测试假设的最小必要条件是什么?
阶段2 — 脚手架(15–30分钟)
npx create-next-app@latest my-app --typescript --tailwind --eslint --app
cd my-app
npx shadcn@latest init
然后:添加Prisma、Supabase客户端、Clerk提供者。参见 references/stack-setup.md。阶段3 — 构建核心用户流
- 先实现一个happy path
- 暂时跳过边缘案例、错误状态、加载状态直到核心功能正常工作
- 使用shadcn组件 — 不从头开始设计
阶段4 — 添加反馈收集
- 始终添加一个简单的反馈机制(文本区域 + 提交)
- 从第一天开始添加Vercel Analytics或PostHog
- 记录关键操作
阶段5 — 部署
npx vercel --prod # 或:推送到GitHub → 在Vercel上自动部署
关键规则
- 永远 不要在身份验证上花费超过1小时的时间 — 使用Clerk
- 永远 不要在检查Supabase默认设置之前设计自定义数据库架构
- 始终 部署到URL(即使是dev预览)才算完成
- 始终 问自己:“此功能是否必要以测试核心假设?”
成功指标
- 部署到URL的可工作应用:✅ 完成
- 可以端到端完成的核心用户流:✅ 完成
- 至少有一个真实用户可以测试:✅ 完成
- 已设置反馈收集:✅ 完成
参考
references/stack-setup.md— 完整的设置命令、环境变量、模板代码references/patterns.md— 常见模式:身份验证路由、数据库查询、API路由、表单
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制