Jits Builder — 即时单页应用构建器
v1.0.0通过语音或文本描述，瞬间构建、部署和访问单页、纯 JavaScript 小型应用，通过 Cloudflare 隧道 URL 访问。
0· 1,900·0 当前·0 累计
by 安全扫描
OpenClaw
可疑
medium confidence该技能的目的（构建和发布单文件 Web 应用）与声明的运行时需求（Node.js + cloudflared）匹配，但指令会自动下载和运行隧道而没有解释身份验证或下载源，这创建了非琐碎的风险和一些不一致。
评估建议
该技能的目标（快速构建和发布单文件应用）是合理的，但它执行了风险较高的运行时操作：自动下载二进制文件并创建公共隧道。在安装或启用之前，审查 `jits.sh` 脚本内容以查看它下载了什么和从哪里下载，验证 `package.json` 依赖项。首选在隔离环境（容器或沙盒）中运行。要求明确的 Cloudflare 凭据或记录的、可信的身份验证流程，而不是隐式自动下载 `cloudflared`。如果允许模型初始化运行，考虑禁用自主调用或限制技能以便它无法在没有明确批准的情况下启动隧道。...详细分析 ▾
ℹ 用途与能力
SKILL.md 描述了构建单文件客户端应用并通过 Cloudflare 隧道使其可用，这合理地需要 Node.js（用于服务）和 cloudflared 二进制文件（用于创建隧道）。然而，该技能没有记录如何提供 Cloudflare 身份验证/证书或为什么没有声明 Cloudflare 凭据或配置；这种疏漏与声明的部署目标不一致。
⚠ 指令范围
运行时指令指示代理将生成的应用保存在 `/data/clawd/jits-apps/` 下，启动本地服务器，并创建 Cloudflare 隧道。它们还指出如果缺失，将自动下载 `cloudflared` 到 `/tmp`。这些运行时操作包括网络暴露和任意二进制下载/执行，范围比简单的代码生成助手更广 —— SKILL.md 没有限制或解释二进制文件来自哪里或如何身份验证隧道。
⚠ 安装机制
没有正式的安装规格，但技能声称它将在运行时自动下载 cloudflared 二进制文件。运行时自动下载和执行二进制文件的风险更高，当源/URL没有记录时。`package.json` 存在（暗示 Node 使用），但没有声明安装步骤或审查的源列表。
⚠ 凭证需求
尽管技能创建公共隧道，但没有声明环境变量或凭据；在实践中，cloudflared 通常需要身份验证（证书或账户链接）。没有声明凭据或指导如何安全地提供它们，这是所需功能和声明要求之间的不匹配。
⚠ 持久化与权限
该技能没有标记为 `always:true`，但模型调用没有禁用。这意味着代理可以自主运行脚本，下载二进制文件，启动服务器和隧道，并发布 URL 而不需要额外的网关。结合网络暴露行为，这是一个值得注意的权限，留着不受限制。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/1/29
["JITS Builder（即时软件）首次发布。","从简单的语音或文本描述即刻生成和部署小型应用。","应用是单文件的、移动友好、暗主题的，不需要外部依赖。","使用 Cloudflare 隧道进行自动部署以实现即时公共访问。","通过命令简单管理，用于列出和停止活动 JITS 应用。","包含指南和模板结构以确保 JITS 应用的一致性生成。"]
● 可疑
安装命令 点击复制
官方npx clawhub@latest install jits-builder
镜像加速npx clawhub@latest install jits-builder --registry https://cn.clawhub-mirror.com
技能文档
构建从语音或文本描述即刻得到的单页小型应用。描述您需要的工具，几秒内就能得到一个可用的工具。
什么是 JITS？
即时软件 — 您不需要找到或安装工具。您描述需要什么，它就会在场景中构建。"我需要一个 25 分钟后播放声音的计时器"
"为我制作一个分账工具"
"创建一个页面，我可以粘贴 JSON 并看到格式化的输出"
要求
- Cloudflared 二进制文件（如果缺失，自动下载到
/tmp/cloudflared） - Node.js（用于服务应用）
工作原理
- 描述 - 通过语音或文本，解释您想要什么
- 生成 - 代理构建单文件 HTML/JS/CSS 应用
- 部署 - Cloudflare 隧道使其即刻可访问
- 使用 - 获取 URL，使用您的工具，分享它
使用
自然地询问： ``"构建一个 Pomodoro 计时器"
"我需要一个快速工具来转换 CSV 为 JSON"
"制作一个小费计算器"
"创建一个颜色调色板生成器"
代理将：
- 生成 HTML/JS 代码
- 保存到
/data/clawd/jits-apps/.html
在本地端口上服务
创建 Cloudflare 隧道
返回公共 URL
管理 JITS 应用
bash
# 列出运行中的应用
/data/clawd/skills/jits-builder/jits.sh list
# 停止一个应用
/data/clawd/skills/jits-builder/jits.sh stop
## 应用指南
构建 JITS 应用时：
- 单文件 - 所有 HTML、CSS、JS 在一个文件中
- 无依赖 - 使用纯 JavaScript，无外部库
- 移动友好 - 响应式设计
- 暗主题 - 看起来好，易于眼睛
- 自包含 - 无需后端/API 调用
- 品牌 - 包含 "由 JITS 构建" 徽标
模板结构
html
🚀 JITS - [应用名称]
[应用标题]
由 JITS 构建
## 示例应用
应用 描述 Pomodoro 计时器 25/5 分钟工作/休息周期，伴有声音 小费计算器 分账自定义小费百分比 JSON 格式化器 粘贴 JSON，查看格式化输出 颜色选择器 生成和复制颜色调色板 倒计时 计时到特定日期/事件 QR 代码生成器 文本到 QR 代码 单位转换器 长度、重量、温度 决策工具 随机选择器
## 限制
- 单页仅 - 无多页应用
- 无后端 - 客户端仅， 无数据库
- 临时 URL - 隧道在停止时过期
- 无持久性 - 数据不会在刷新后存活（如果需要，使用 localStorage）
目录结构
/data/clawd/jits-apps/
├── pomodoro.html # 应用 HTML
├── pomodoro.pid # 服务器进程 ID
├── pomodoro.port # 端口号
├── pomodoro.url # 隧道 URL
└── pomodoro.tunnel.pid # 隧道进程 ID
``
"最好的工具是您刚好需要时构建的工具。" 🐱🦞
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制