Catch My Skill — 自动检测本地与线上技能版本差异
v1.0.0自动检测本地与线上技能版本差异,支持ClawHub和GitHub,定期检查更新,提醒版本更新
0· 339·1 当前·1 累计
安全扫描
OpenClaw
可疑
medium confidence该技能基本如宣称,但实现和文档存在不一致,使用shell命令,安装前需谨慎
评估建议
安装前注意:实现与宣称不一致、使用shell命令、输入未经清洗、文件访问。安装前请审查代码,特别是输入验证和安全性...详细分析 ▾
⚠ 用途与能力
README/SKILL.md 声称获取所有在线技能,但代码仅查询硬编码的 KNOWN_SKILLS 列表,仅使用 ClawHub 进行周期性在线扫描。GitHub仅在更新时使用(git clone)。该技能还读取 ~/.openclaw/.backup.env(用于 GITHUB_USERNAME 和间隔),尽管注册元数据声明没有必需的环境变量 —— 这是声明和实际行为之间的不匹配。
⚠ 指令范围
运行时指令和代码一般对齐,但存在差异:SKILL.md/README 暗示更广泛的在线发现,而代码仅限于固定列表。代码通过 execSync 执行 shell 命令(clawhub inspect, git clone, clawhub install),无输入清洗,读写用户主目录下的文件(~/.openclaw/workspace/skills 和技能的 data/ 目录)。该技能建议添加 cron 作业,但自身不添加。
✓ 安装机制
未声明远程安装或下载步骤,包是指令仅的,带有本地 index.js。清单中没有内容在安装时下载任意代码。然而,运行时操作(git clone, clawhub install)将在运行更新时获取远程存储库,这是更新器的预期行为。
ℹ 凭证需求
注册表列出没有必需的环境变量,但代码将读取 ~/.openclaw/.backup.env 获取 GITHUB_USERNAME 和 CATCH_INTERVAL。这些不是秘密,但该技能访问了元数据中未声明的用户文件。根据编写,代码没有请求或使用凭证(令牌/密钥/密码)。
✓ 持久化与权限
该技能不请求 always:true,也不修改其他技能的配置。它在自己的 data/ 目录下写入自己的数据文件,并与 ~/.openclaw/workspace/skills 交互,这与更新器/追踪器一致。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/2/28
自动检测本地与线上技能版本差异
● 可疑
安装命令 点击复制
官方npx clawhub@latest install catch-my-skill
镜像加速npx clawhub@latest install catch-my-skill --registry https://cn.clawhub-mirror.com
技能文档
功能
- 维护两个列表
- 定时检查
- 版本告警
... (中间内容与原文相同,未翻译)
安装
# 复制到技能目录
cp -r catch-my-skill ~/.openclaw/workspace/skills/
# 初始化
node index.js init
更新日志
- 2026-02-28: 初始版本
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制