by 安全扫描
OpenClaw
可疑
medium confidence该包实现了声称的SQLite后端编排功能，且与描述相符，但包中存在多个正确性/健壮性问题和未声明的跨技能依赖，未经审查和修复运行风险较高。
评估建议
此技能似乎实现了其宣称的功能（本地SQLite多代理队列），但不适合直接投入生产。安装/运行前：
- 在隔离环境中审查和运行包含的测试。
- 解决CODEX_REVIEW问题（事务包装、最大并发限制、确保备份/恢复正确关闭DB）。
- 注意代码导入 '../../interchange/src/index.js'，确保路径安全且仅包含可信代码。
- 由于使用better-sqlite3（本地模块），安装/构建可能需要C++工具链或预编译二进制文件；先在目标环境中测试安装。
- 在受控环境中运行CLI命令，并备份重要数据。若需用于生产，要求维护者修复高/临界问题，声明依赖@openclaw/interchange或内置所需交换函数以避免跨目录导入。若无法审计/修补这些问题，请将该包视为不可用于生产工作负载的不信任包。...详细分析 ▾
ℹ 用途与能力
代码与名称/描述匹配：一个支持任务声明、依赖、重试、清理和Markdown交换生成的SQLite任务队列。声明的依赖项（better-sqlite3、commander、uuid）和CLI与该目的相符。两个问题：(1) src/interchange.js 导入 '../../interchange/src/index.js' — 一个相对的、包外导入，要求存在一个同名的交换模块但未在package.json中声明；这是一个隐式的外部依赖和脆弱的设计。(2) package-lock包含本地模块（better-sqlite3），需要本地构建/运行时支持；这在预期内，但值得注意的是部署。
ℹ 指令范围
SKILL.md和CLI仅指示本地操作（npm install、运行node src/cli.js命令）。代码读写本地DB（data/orchestration.db），写入.md交换文件，并暴露备份/恢复功能以覆盖本地DB文件。提供的源代码中没有尝试读取环境秘密或联系外部网络端点。然而：交换导入超出包范围（../../interchange/...），且refresh在'interchange'树中生成文件 — SKILL.md未指出refresh将依赖外部同名模块，也未提到文件将写入仓库文件系统。CLI的'restore'和备份函数可以覆盖活跃DB文件；README/CLI警告WAL，但这些操作在误用时仍存在数据丢失风险。
✓ 安装机制
技能注册表中没有特殊安装脚本；SKILL.md推荐运行 'npm install'，将从npm注册表获取包（better-sqlite3、commander、uuid）。没有从任意URL或短网址下载。注意：better-sqlite3是一个本地模块，可能会运行构建/安装步骤（prebuild-install） — 这是正常的，但主机需要构建工具链。
✓ 凭证需求
技能未声明任何必需的环境变量、凭证或特殊配置路径。代码在技能下操作本地文件系统路径（data/、interchange/），不使用任何外部API密钥。这与磁盘上的编排工具相称。
ℹ 持久化与权限
技能未请求always:true或任何高级平台权限。它将运行CLI命令并修改其data/interchange目录下的文件。一个注意事项：源代码通过一个相对路径导入代码，向上跨越到一个同名的交换目录（'../../interchange/src/index.js'），这意味着在运行时，如果文件系统中存在其他技能目录，可能会执行来自其他技能目录的代码 — 这是一种设计脆弱性，如果仓库布局与预期不同，可能会导致惊人的跨技能执行。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/2/20
初始发布：多代理任务队列。包含13个测试。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install openclaw-orchestration
镜像加速npx clawhub@latest install openclaw-orchestration --registry https://cn.clawhub-mirror.com
技能文档
多代理任务编排框架。代理通过共享的SQLite队列委托任务，使用.md交换文件进行可视化。
快速开始
cd skills/orchestration
npm install
node src/cli.js agent register my-agent --capabilities "coding,research"
node src/cli.js task create "Build feature X" --desc "..." --priority high
node src/cli.js task claim --agent my-agent
node src/cli.js task complete --summary "Done"
node src/cli.js refresh
设计
- DB是真实数据源 — .md文件是只读投影
- 原子任务声明 — 仅一个代理可以声明一个待处理任务
- 依赖关系 — 任务可以依赖其他任务
- 超时 + 重试 —
sweep处理过时任务 - 交换 —
refresh通过@openclaw/interchange生成.md文件
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制