by 安全扫描
OpenClaw
可疑
medium confidence该技能的代码基本符合飞书报告包装器的要求，但未声明所需的凭证，并进行了广泛的文件系统、进程和网络操作，安装前应进行审查。
评估建议
该包包含多个可执行脚本，会读取工作空间文件、创建 PID/锁/日志文件、spawn 背景进程、执行 shell 命令，并使用令牌（FEISHU_APP_ID、FEISHU_BOT_NAME、FEISHU_EVOLVER_DOC_TOKEN 和/或 memory/feishu_token.json）发送数据到飞书。技能元数据未声明这些所需的凭证——安装前请验证。建议：1) 在沙盒或隔离容器中检查或运行代码；2) 确认飞书令牌存储位置，考虑为测试创建一个受限令牌；3) 审核缺失的模块引用（../feishu-common、../evolver），确保其真实可用；4) 搜索存储库以了解可能上传到飞书的文件；5) 如果不信任源，请不要提供生产凭证，只在一次性环境中运行。技能实现了其声明的功能，但未声明的凭证和广泛的系统访问使其值得在使用前进行手动审查。...详细分析 ▾
⚠ 用途与能力
代码实现了飞书集成和进化守护程序（发送卡片、创建飞书文档、导出日志、运行守护进程），与描述一致。然而，注册表/元数据未声明任何所需的环境变量或主凭证，但代码明显需要飞书凭证和其他环境值（FEISHU_APP_ID、FEISHU_BOT_NAME、FEISHU_EVOLVER_DOC_TOKEN、OPENCLAW_MASTER_ID 等）。这种差异是意外的和不成比例的：集成技能应声明它需要的 API 令牌。
⚠ 指令范围
SKILL.md 提供了一个小界面（运行 node index.js、lifecycle.js、visualize_dashboard.js），但包含的运行时指令（代码）触及了许多系统和工作空间区域：读取 memory/、logs/、assets/gep/events.jsonl、/proc、MEMORY.md，创建/删除 PID 和锁文件，spawn 背景进程，并调用外部 CLI 工具（openclaw、shell 命令）。代码还读取令牌文件（memory/feishu_token.json）并将内容上传到飞书。SKILL.md 未枚举这些行为或它读取的敏感文件，因此指令范围比文档指示的更广。
ℹ 安装机制
未提供安装规格（仅指令），这降低了安装器风险。然而，捆绑包包含许多可执行的 JS 脚本和一个具有本地 'evolver' 依赖关系的 package.json（文件：../evolver）。安装中没有远程下载，但执行包含的脚本将运行非琐碎的本地操作。
⚠ 凭证需求
注册表未声明任何所需的环境变量/凭证，但代码期待并将使用多个敏感环境变量和令牌文件（FEISHU_APP_ID、FEISHU_BOT_NAME、FEISHU_EVOLVER_DOC_TOKEN、OPENCLAW_MASTER_ID、memory/feishu_token.json 中的 FEISHU 令牌 JSON）。代码尝试在发送前扫描一些秘密模式，但许多隐式/未声明的凭证和文件读取是不成比例的，应明确声明和证明。
ℹ 持久化与权限
技能未设置 always:true。它spawn 背景进程/守护进程，在工作空间下写入 PID 和锁文件（memory/、logs/），并可以自启动内部守护程序。这种行为与守护程序包装器一致，但它赋予技能在主机工作空间内作为背景进程持久存在的能力——用户应预期它在运行时创建/修改文件和进程。
⚠ exec_cache.js:19
检测到 shell 命令执行（child_process）。
⚠ index.js:485
检测到 shell 命令执行（child_process）。
⚠ issue_tracker.js:64
检测到 shell 命令执行（child_process）。
⚠ lifecycle.js:98
检测到 shell 命令执行（child_process）。
⚠ report.js:131
检测到 shell 命令执行（child_process）。
⚠ self-repair.js:20
检测到 shell 命令执行（child_process）。
⚠ skills_monitor.js:65
检测到 shell 命令执行（child_process）。
⚠ index.js:1230
检测到动态代码执行。
⚠ export_history.js:15
环境变量访问与网络发送相结合。
⚠ visualize_dashboard.js:21
环境变量访问与网络发送相结合。
⚠ export_history.js:23
文件读取与网络发送相结合（可能的数据外泄）。
⚠ visualize_dashboard.js:143
文件读取与网络发送相结合（可能的数据外泄）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/16
初始发布——集成飞书报告和管理功能为能力进化器。- 通过环境变量注入添加飞书卡片报告。- 提供启动、停止和监控进化循环的生命周期管理工具。- 包括从进化历史生成和可视化仪表盘。- 支持将进化历史导出到飞书文档。- 用 OpenClaw Cron 作业（robust watchdog 逻辑）替换旧的 crontab 管理。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install feishu-evolver-wrapper-local
镜像加速npx clawhub@latest install feishu-evolver-wrapper-local --registry https://cn.clawhub-mirror.com
技能文档
飞书进化包装器 ====================
一个轻量级包装器，用于 capability-evolver 技能。它注入飞书报告环境变量（EVOLVE_REPORT_TOOL），以在主机环境中启用丰富的卡片报告。
用法
# 运行进化循环
node 技能/飞书-进化包装器/index.js
# 生成进化仪表盘（Markdown）
node 技能/飞书-进化包装器/visualize_dashboard.js
# 生命周期管理（启动/停止/状态/确保）
node 技能/飞书-进化包装器/lifecycle.js 状态
架构
- 进化循环：运行 GEP 进化周期，具有飞书报告。
- 仪表盘：从
assets/gep/events.jsonl可视化指标和历史记录。 - 导出历史：将原始历史记录导出到飞书文档。
- 守护程序：通过 OpenClaw Cron 作业
evolver_watchdog_robust管理（每 10 分钟运行一次lifecycle.js ensure）。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制