by 安全扫描
OpenClaw
可疑
medium confidence该技能的目的（发现 OpenRouter 模型）合理且大致一致，但存在清单/指令不匹配——特别是注册表声称没有环境变量，而 SKILL.md 和 CLI 需要 OPENROUTER_API_KEY，并且运行时代码检查该密钥但从未在调用 API 时使用它——这些不一致性值得谨慎对待。
评估建议
该技能似乎做了它声称的（查询 OpenRouter 和筛选模型），但在相信它之前，有几个红旗需要解决：1）注册表元数据没有列出 OPENROUTER_API_KEY，尽管 SKILL.md 和 CLI 告诉您导出它——注册表应声明此环境变量。2）运行时检查 OPENROUTER_API_KEY 但从未将其附加到获取请求；这可能是一个 bug（或端点是公共的）。请作者（a）更新注册表元数据以列出 OPENROUTER_API_KEY 作为主要凭证和/或（b）修复代码以向 OpenRouter 发送密钥（例如添加授权头或正确的头参数）。如果您现在必须运行它，请在隔离环境中运行，并检查/修改 scripts/free-models.js 以确保它仅向 api.openrouter.ai 发送凭证并按预期行为。如果您想要更高的保证，请请求一个纠正的清单（声明 OPENROUTER_API_KEY）和一个代码更新，显示如何使用密钥（例如，Authorization: Bearer）。...详细分析 ▾
ℹ 用途与能力
该技能声称从 OpenRouter 发现免费/廉价模型，代码确实查询 OpenRouter 的模型端点并过滤结果——这与声明的目的相符。然而，注册表元数据声明没有所需的环境变量或主要凭证，而 SKILL.md 和代码需要 OPENROUTER_API_KEY；该元数据省略是不一致的。
⚠ 指令范围
SKILL.md 指示用户导出 OPENROUTER_API_KEY 并运行 CLI。运行时文件强制设置环境变量（如果没有则退出），但向 https://openrouter.ai/api/v1/models 的获取调用不包括 API 密钥在头或查询参数中——无论该密钥对于该端点是否不必要，还是代码有 bug。因此，指令引用了注册表中未声明的环境变量且实际上未用于请求，这是一个范围/准确性问题，可能会误导用户。
✓ 安装机制
没有安装规格（仅指令的技能，包含源文件）。不需要第三方下载或包安装，也没有依赖项——从安装/远程代码获取的角度看，这是低风险的。
⚠ 凭证需求
要求单个 OPENROUTER_API_KEY 与声明的目的（访问 OpenRouter）成比例。但注册表元数据未声明此所需环境变量或主要凭证，代码检查密钥但在进行 API 调用时不使用它——应修复或澄清此不匹配。没有其他无关的秘密请求。
✓ 持久化与权限
该技能不请求持久/始终在线的存在，不修改其他技能或系统设置，也不请求访问配置路径。默认调用和用户可调用设置是正常的。
⚠ scripts/free-models.js:13
环境变量访问与网络发送结合。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.3.02026/3/12
free-models-for-openclaw v0.3.0 - 更新了文档，包含了发现、筛选和选择模型的详细使用示例和 API 参考。- 添加了清晰的 CLI 使用指令和 API 密钥设置指南。- 提供了常见的免费/廉价模型推荐和最佳使用场景。- 澄清了筛选选项和高级模型选择方法。- 改进了技能描述和元数据以反映 OpenClaw 和代理工作流的功能。
● 无害
安装命令 点击复制
官方npx clawhub@latest install free-models-for-openclaw
镜像加速npx clawhub@latest install free-models-for-openclaw --registry https://cn.clawhub-mirror.com
技能文档
简介
该技能用于从 OpenRouter 中为 OpenClaw 和其他代理工作流发现、筛选和选择免费或低成本的 AI 模型，基于上下文、价格和能力。使用指南
- 导出 OPENROUTER_API_KEY：
export OPENROUTER_API_KEY=您的API密钥 - 运行 CLI：
node scripts/free-models.js
API 参考
请参阅 OpenRouter API 文档。代码
// 示例代码片段（实际代码请参阅 scripts/free-models.js）
const apiKey = process.env.OPENROUTER_API_KEY;
// ...（其他代码）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制