安全扫描
OpenClaw
可疑
medium confidence该技能主要用于面试和观察,但其内置的 Web 服务器读取本地代理会话文件并通过未经身份验证的 HTTP/CORS 暴露(甚至可以删除),这相比文档意图而言是不当且风险较高的。
评估建议
["该包主要是一个本地 Web 观察器,用于 OpenClaw 代理对话及模板和安装助手。但在安装或运行服务器前,请考虑以下几点:","1. server.py 读取 `~/.openclaw/agents/*/sessions` 下的所有会话文件,并通过 HTTP 暴露消息内容,这些可能包含敏感对话数据。","2. API 设置 `Access-Control-Allow-Origin: *` 并监听 `localhost:8091`,因此本地 Web 页面或应用程序可以访问它;考虑限制 CORS 或仅绑定到 `127.0.0.1`。","3. `/api/clear` 端点无需身份验证即可删除会话文件;如果需要删除,请要求身份验证或删除此端点。","4. 检查 `openclaw.json` 中存储的应用程序密钥(飞书 `appSecret`)并避免暴露该文件。","5. 如果您想使用它,请在受限制的环境(隔离帐户或 VM)中运行它,先备份会话文件,或者修改 `server.py` 以强制执行身份验证并删除宽松的 CORS 和未经身份验证的删除操作。最后,检查 SKILL.md 中...详细分析 ▾
ℹ 用途与能力
SKILL.md 描述了 job-seeker/recruiter 代理和 web 观察器;包含的 server.py 通过读取 OpenClaw 代理会话文件来实现这一点。阅读会话与观察器一致,但服务器还暴露了一个可以删除会话文件的未经身份验证的 API —— 删除超出了简单观察器的范围,应该明确和合理化。
⚠ 指令范围
运行时指令告诉用户运行 `scripts/install.sh` 和 `python3 server.py`。SKILL.md 没有明确警告 web 观察器将读取 `~/.openclaw/agents/*/sessions/*.jsonl`(敏感聊天历史)或 UI 暴露一个 'clear' 动作,导致 server.py 删除这些文件。指令授予技能访问任意代理会话内容的权限,而没有记录隐私或身份验证控制。
✓ 安装机制
没有网络安装或下载;打包的 `install.sh` 复制本地模板并可选地启动捆绑的 `server.py`。此本地安装机制本身风险较低。
ℹ 凭证需求
技能不请求环境变量,与包匹配。SKILL.md 要求用户配置飞书应用并编辑 `~/.openclaw/openclaw.json`(其中将存储像 `appSecret` 这样的秘密);`server.py` 访问包含消息内容的会话文件。通过未经身份验证的 HTTP API 暴露这些消息是一项敏感操作,应该明确说明和保护。
⚠ 持久化与权限
技能不要求 `always:true` 且不修改其他技能,这是好的。然而,`server.py` 提供的端点 (1) 通过 HTTP 服务会话内容,设置 `Access-Control-Allow-Origin: *`,(2) 通过 `/api/clear` 无需身份验证即可删除会话文件。这些行为赋予技能有效的本地数据修改权限和未经身份验证的攻击面(localhost + 宽松 CORS),增加了风险。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/18
["首发版本,推出完整的 AI 面试系统 Skill","提供 AI 求职者与 AI 面试官两个 Agent,支持飞书群聊面试","新增 web-viewer,可实时可视化观察面板","一键安装与手动配置两种部署方式","完善故障排除与详细配置文档"]
● 可疑
安装命令 点击复制
官方npx clawhub@latest install ai-interview-system
镜像加速npx clawhub@latest install ai-interview-system --registry https://cn.clawhub-mirror.com
技能文档
完整的 AI 面试解决方案,包含求职者和面试官 Agent,支持飞书群聊面试。
系统架构
...快速开始
...启动可视化面板
...使用方法
...故障排除
...文件结构
...更新日志
- 2026-03-18: 整合 job-seeker、recruiter、web-viewer 为统一 Skill
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制