安全扫描
OpenClaw
可疑
medium confidence该技能主要如声称般工作(爬取/搜索中文网站),但包含多个不一致和隐私/计费风险(硬编码计费API密钥、未声明的第三方端点、尽管SKILL.md声称无本地文件读写,但仍读取本地文件)
评估建议
该技能似乎实现了声称的搜索功能,但建议在安装或广泛启用前谨慎:
- 不要相信SKILL.md的'无本地文件'声明:技能读取身份文件并将发送标识符(deviceId或hostname+username)到计费端点。
- 代码中包含硬编码的计费API密钥(lib/billing.mjs)。这是分布式代码中的秘密,可能被发布者或攻击者滥用。请问发布者为什么嵌入密钥,并请求更安全的计费设计(服务器端计费或每次安装密钥)。
- baidu模块回退到未记录的第三方免费API(v.api.aa1.cn)。请发布者披露所有外部端点并证明其合理性。
- 测试时,请使用--no-billing标志运行工具并监控网络连接(或沙盒它),在生产环境中给予网络访问或允许自动调用前。
- 如果必须使用:避免在包含敏感本地数据或不希望发送到外部计费服务的设备上安装。更好地安装是在发布者移除嵌入API密钥或提供明确计费文档和选择性同意流后。...详细分析 ▾
⚠ 用途与能力
名称/描述和代码一般一致(搜索百度、知乎、微信)。然而,代码嵌入了SkillPay API密钥,并使用第三方'v.api.aa1.cn'免费API作为备用百度源(未在SKILL.md中声明)。计费集成和嵌入的秘密不严格必要地执行爬取/搜索,并增加了风险。
⚠ 指令范围
SKILL.md 声称'无本地文件读写',但 search.mjs 读取本地文件以解析调用者ID(~/.openclaw/identity/device.json 和可能的OPENCLAW_STATE_DIR路径)。代码将调用者身份(或主机名/用户名)发送到计费端点。SKILL.md 列出了百度/搜狗/知乎/SkillPay,但省略了lib/baidu.mjs使用的替代免费API端点(v.api.aa1.cn)。
✓ 安装机制
未提供安装规格(仅指令安装),代码为纯Node,依赖项在package.json/package-lock.json中声明(cheerio、commander)。规格中无下载或不透明的安装程序。
⚠ 凭证需求
包仅要求'node',但代码读取环境变量OPENCLAW_CALLER_ID、OPENCLAW_AGENT_ID 和OPENCLAW_STATE_DIR(未在SKILL.md中声明)。更严重的是,lib/billing.mjs包含硬编码的API密钥(sk_...)和技能ID——分布式代码中的秘密可以被滥用或泄露,对于客户端搜索实用工具来说是不成比例的。
ℹ 持久化与权限
always:false,并且技能不请求系统范围的配置更改。它尝试通过阅读身份文件或使用主机名/用户名来识别调用者,以便通过SkillPay进行计费,这增加了其隐私足迹,但不是像always:true那样提升的平台权限。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/6
初始发布:百度、知乎、微信文章搜索,带有SkillPay计费
● 可疑
安装命令 点击复制
官方npx clawhub@latest install zhsearch
镜像加速npx clawhub@latest install zhsearch --registry https://cn.clawhub-mirror.com
技能文档
中文搜索增强(中文搜索增强) 搜索中文内容跨百度、知乎和微信公众号,单一命令。返回结构化、AI友好JSON结果。此技能填补了英语中心搜索工具(Brave、Perplexity等)返回中文查询差结果的缺口。
用法
搜索所有源(默认)
node {baseDir}/search.mjs "人工智能最新进展"
搜索特定源
node {baseDir}/search.mjs "新能源汽车" -s baidu
node {baseDir}/search.mjs "React性能优化" -s zhihu
node {baseDir}/search.mjs "大模型应用" -s wechat
node {baseDir}/search.mjs "量子计算" -s baidu,zhihu
控制结果数
node {baseDir}/search.mjs "ChatGPT" -n 10
node {baseDir}/search.mjs "深度学习" -s baidu,zhihu -n 3
选项
- 第一个参数(必需):中文或英文搜索查询
-s, --sources:逗号分隔源 —baidu、zhihu、wechat(默认所有三个)-n, --limit:每源结果数,1-20(默认5)--no-billing:跳过计费检查(仅本地测试,不用于生产)
源
| 源 | 搜索内容 | 最适合 |
|---|---|---|
baidu | 百度网页搜索 | 中文网页内容、新闻、技术文章 |
zhihu | 知乎Q&A平台 | 专家意见、深度讨论、指南 |
wechat | 微信公众号文章(通过搜狗) | 原创分析、行业洞察、观点文章 |
{
"query": "人工智能",
"total": 15,
"sources": ["baidu", "zhihu", "wechat"],
"results": {
"baidu": [
{ "title": "...", "snippet": "...", "url": "..." }
],
"zhihu": [
{ "title": "...", "snippet": "...", "url": "..." }
],
"wechat": [
{ "title": "...", "snippet": "...", "url": "...", "account": "...", "date": "..." }
]
}
}
何时使用此技能
- 用户提问需要中文信息
- 需要找到中文新闻、文章或专家讨论
- 内置
web_search工具对中文查询返回差结果 - 需要来自中文平台(百度、知乎、微信)的信息
计费
这是一个付费技能。每次搜索调用费用为0.001 USDT(约0.007 RMB)。如果用户余额不足,技能返回payment_url — 向用户显示以便充值。
设置
无需配置。计费由技能发布者通过SkillPay自动处理。只需安装并使用。安全性与隐私
- 访问的外部端点:百度(baidu.com)、搜狗(sogou.com、weixin.sogou.com)、知乎(zhihu.com)、SkillPay(skillpay.me)
- 本地文件:无读写
- 数据处理:搜索查询发送到上述搜索引擎。无用户数据存储。通过SkillPay使用匿名调用者ID处理计费。
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制