by 安全扫描
OpenClaw
可疑
medium confidence该技能基本如其名，但指令中存在提示注入的工件，部分行为选择（广泛自动关键词扩展、任意文章URL的深度抓取、将报告保存到磁盘）在没有明确来源和控制的情况下风险较高。
评估建议
["该技能实现了宣传的聚合功能，但安装前请谨慎：1) 源头可信度弱（无主页，仓库所有权不明）——优先选择来自知名仓库的代码。2) SKILL.md 中包含类似提示注入的Unicode控制字符——使用前检查并移除。3) '全局扫描' 和自动关键词扩展可能抓取和分析大量页面（包括在爬取过程中发现的任意文章URL）——在沙盒或容器中运行，避免在有访问敏感系统权限的代理上启用自治调用。4) 如果使用 '--deep'，请注意它下载页面内容（最多3000字符），可能包括追踪代码或敏感片段——考虑禁用深度抓取或限制为白名单域。5) 审核 scripts/fetch_news.py 以查找任何隐藏行为（提供的代码看起来像标准爬虫，但审计截断部分，例如产品猎手抓取器）。6) 如果决定继续，限制技能权限，在隔离环境中运行，并监控出站网络活动和 reports/ 目录下的创建文件。"]...详细分析 ▾
ℹ 用途与能力
名称/描述与包含的Python爬虫匹配：代码从黑客新闻、GitHub趋势、产品猎手、36氪、腾讯、WallStreetCN、V2EX和微博抓取内容，并支持 '--deep' 模式下载文章文本。没有请求凭据或无关的环境变量。唯一的轻微不匹配：SKILL.md 强烈推动自动扩展关键词（使查询远超用户的简单请求），这是一个增加超出最小聚合器范围的设计选择。
⚠ 指令范围
SKILL.md 包含强制 '必须'/'关键' 指令（自动扩展用户关键词、 '智能填充' 超出时间窗口的项目、每个项目的强制深度分析），指示代理读取 templates.md 并将报告保存到 reports/（写入文件）。预扫描标记了 SKILL.md 中的 'unicode-control-chars'（提示注入模式）——这可能是尝试操纵代理行为。指令还鼓励广泛抓取（全局扫描 ~120 项）和深度抓取文章内容，这可能导致代理下载和处理远超用户明确请求的许多外部页面。
✓ 安装机制
没有自动安装规格 — 只有带有小 requirements.txt（requests、beautifulsoup4）的Python脚本和指令。没有检测到任意二进制下载或晦涩的安装程序。README 建议从 GitHub 仓库克隆（注册元数据中未提供主页），因此源头可信度弱，但安装机制本身风险较低。
✓ 凭证需求
该技能不请求环境变量、凭据或配置路径。代码仅使用公共HTTP端点。这对于一个Web爬取新闻聚合器来说是合理的。
ℹ 持久化与权限
always:false（正常）。该技能指示将生成的报告保存到 reports/ 目录（将文件写入磁盘）——对于报告工具来说是预期的，但如果您在包含敏感数据的环境中运行，则值得注意。它不请求修改其他技能或全局代理配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.02026/1/26
新闻聚合器技能初始发布：- 聚合、过滤和深度分析来自8大来源的实时新闻，包括黑客新闻、GitHub趋势、产品猎手等。- 支持广泛的 '全局扫描' 和智能关键词扩展用于用户查询。- 添加深度抓取模式以提取文章文本（--deep 标志）。- 交互式菜单系统通过模板提供用户指导。- 智能时间过滤和 '智能填充' 以确保报告的有意义。- 响应格式为杂志/新闻通讯风格，包含深度解读（简体中文）。- 全报告自动保存到 reports/ 目录并呈现给用户。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install news-aggregator-skill
镜像加速npx clawhub@latest install news-aggregator-skill --registry https://cn.clawhub-mirror.com
技能文档
从多个来源获取实时热门新闻。
工具
fetch_news.py
用法：
### 单一来源（限制10条）
全局扫描（选项12）- 广泛获取策略
注意：此策略专门用于"全局扫描"场景，旨在捕获所有趋势。
# 1. 广泛获取（为语义过滤准备大量数据池）
python3 scripts/fetch_news.py --source all --limit 15 --deep# 2. 语义过滤：
# 代理手动从广泛列表（约120条）中筛选用户关注的话题。
单一来源与组合（智能关键词扩展）
关键：你必须自动扩展用户的简单关键词，覆盖整个领域。 用户："AI" → 代理使用：--keyword "AI,LLM,GPT,Claude,Generative,Machine Learning,RAG,Agent"
用户："Android" → 代理使用：--keyword "Android,Kotlin,Google,Mobile,App"
用户："金融" → 代理使用：--keyword "Finance,Stock,Market,Economy,Crypto,Gold"# 示例：用户要求"HN上的AI新闻"（注意扩展的关键词）
python3 scripts/fetch_news.py --source hackernews --limit 20 --keyword "AI,LLM,GPT,DeepSeek,Agent" --deep
特定关键词搜索
仅在关键词非常具体、独特时使用--keyword（如 "DeepSeek"、"OpenAI"）。
python3 scripts/fetch_news.py --source all --limit 10 --keyword "DeepSeek" --deep
参数：
--source：可选hackernews、weibo、github、36kr、producthunt、v2ex、tencent、wallstreetcn、all。--limit：每个来源的最大条目数（默认10）。--keyword：逗号分隔的过滤词（如 "AI,GPT"）。--deep：[新功能] 启用深度获取。下载并提取文章的正文内容。
输出：
JSON 数组。如果使用 --deep，条目将包含与文章文本关联的 content 字段。
交互菜单
当用户说 "news-aggregator-skill 如意如意"（或类似的"菜单/帮助"触发词）：
- 读取技能目录中
templates.md的内容。 - 展示可用命令列表，与文件中完全一致。
- 引导用户选择编号或复制命令执行。
智能时间过滤与报告（关键）
如果用户请求特定时间窗口（如"过去X小时"）且结果稀少（< 5条）：- 优先用户窗口：首先列出严格在用户请求时间内（时间 < X）的所有条目。
- 智能补充：如果列表较短，你必须包含更宽范围（如过去24小时）的高价值/高热度条目，确保报告至少提供5条有意义的洞察。
- 标注：清楚标记这些较旧的条目（如"⚠️ 18小时前"、"🔥 24小时热门"），让用户知道是补充内容。
- 高价值优先：始终优先"最先进"、"重大发布"或"高热度"条目，即使略微超出时间窗口。
- GitHub Trending 例外：对于纯列表来源如 GitHub Trending，严格返回获取列表中的有效条目（如 Top 10）。列出所有获取的条目。不要进行"智能补充"。
#RAG #LocalFirst #Rust）。6. 响应指南（关键）
格式与风格：
- 语言：简体中文。
- 风格：杂志/Newsletter 风格（如"经济学人"或"Morning Brew"调性）。专业、简洁、引人入胜。
- 结构：
- 条目格式：
### 1. OpenAI 发布 GPT-5
- ❌ 错误：### 1. OpenAI 发布 GPT-5
- 元数据行：必须包含来源、时间/日期和热度/评分。
- 一句话摘要：精炼的"所以呢？"式摘要。
- 深度解读（要点）：2-3个要点解释为什么*重要、技术细节或背景。（"深度扫描"时必需）输出产物：
- 始终将完整报告保存到
reports/目录，使用带时间戳的文件名（如reports/hn_news_YYYYMMDD_HHMM.md）。 - 在聊天中向用户展示完整报告内容。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制