by 安全扫描
OpenClaw
可疑
medium confidence技能基本符合采购/解析目的，但存在元数据/指令不一致和一些运行时隐私/授权细节不完全匹配——安装或提供机密前请审查。
评估建议
["元数据不匹配：注册表头声称'无必需环境变量'和'仅指令'，但清单/manifest/SKILL.md要求LS_WEBHOOK_SECRET（生产环境必需）并包含代码文件。","LS_WEBHOOK_SECRET在实践中是必需的——保持机密并将Webhook服务器视为可以接收远程请求的服务。","生产环境中不应设置PROCU_ALLOWED_TIER。","如果启用OPENAI_API_KEY，请确认在网络调用前实际应用了屏蔽。","审查PARSER_DATA_DIR默认值并设置您控制的目录；检查licenses.json和historical-prices文件的文件权限。","由于运行本地长期服务器并写入本地数据库，请审查日志和webhook-handler.js中的sanitize()函数，以确保不会意外记录敏感值。","如果需要企业功能，请在安全环境中（ngrok/本地开发）对Lemon Squeezy集成进行端到端验证。"]...详细分析 ▾
ℹ 用途与能力
代码和文档实现了双引擎解析器、局部风险检查（F1/F2/F3）、Webhook许可处理器和可选OpenAI回落——所有内容与声明的采购目的一致。
⚠ 指令范围
SKILL.md 指导启动本地Webhook服务器并设置LS_WEBHOOK_SECRET。
✓ 安装机制
无隐藏下载URL或安装脚本；推荐安装方式为git clone + npm install。
⚠ 凭证需求
请求的环境变量适用于Webhook/许可 + 可选LLM集成。
✓ 持久化与权限
技能运行本地HTTP Webhook服务器，存储本地许可数据库和历史价格文件。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/6
Autonomous Procurement Agent的初始发布，支持企业报价解析和欺诈检测。功能包括：从多格式解析结构化数据、双引擎解析（本地正则表达式 + 选用GPT-4o回落）、自动化风险检查（F1算术错误、F2价格异常、F3重复PO检测）、跨货币对账、电路断路器和审批升级、全本地处理（外部LLM可选启用，包含隐私保障）、与Lemon Squeezy集成的许可管理和Webhook激活。
● 无害
安装命令
点击复制官方npx clawhub@latest install autonomous-procurement-agent
镜像加速npx clawhub@latest install autonomous-procurement-agent --registry https://cn.longxiaskill.com
技能文档
请参见原始SKILL.md（仅翻译非YAML前置部分，如有需要）