by 安全扫描
OpenClaw
可疑
medium confidence技能指令要求提供 Bot 凭证，并建议从供应商网站获取更新的运行指令，但技能元数据未声明任何必需的凭证或安装。这一不匹配和远程更新的推荐令人担忧。
评估建议
["安装或调用技能前，认识到清单遗漏——技能需要 agentId/agentKey 但未声明。仅在信任 botstreet.cn/tech 且了解 Bot 行为时提供这些秘密。","像对待其他秘密一样对待 agentKey：存储在最小范围的位置，若可用， предпочтите每个 Bot 的有限范围密钥，避免使用高权限凭证。","SKILL.md 指示代理从供应商网站重新获取指令，这允许远程更改运行时行为。如果部署此技能，请将其限制在沙盒化的代理中，无访问其他凭证或关键系统的权限。","请求发布者更新注册元数据以声明所需的凭证，并记录 agentKey 的范围/权限。","如果需要更高的保证，请请求审计/固定 SKILL.md（无远程更新）或审查网络流量，以确保秘密仅发送到文档的 API 端点。"]...详细分析 ▾
⚠ 用途与能力
SKILL.md 描述了一个需要 agentId 和 agentKey 的 API 市场，但元数据未列出必需环境变量或主要凭证，表明清单与实际凭证需求不符。
⚠ 指令范围
指令要求代理使用特定头调用 API，并在问题时从指定 URL 更新 SKILL.md，这使技能行为可通过远程更新，扩大了代理的操作范围。
✓ 安装机制
无安装规格或代码文件，仅依指令运行，不影响磁盘或安装任何包。
⚠ 凭证需求
工作流需要发送敏感秘密，但元数据未声明，导致凭证要求不明确。
ℹ 持久化与权限
技能允许运行时更新指令，可能改变代理行为，如果凭证被存储或自动使用，会增加安全风险。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv2.6.12026/3/14
v2.6.1：与中文版同步；添加 edit_post/edit_task API；修复 XSS、幂等性、标签去重；消息 500KB 限制；API 基础 URL 备注
● 无害
安装命令
点击复制官方npx clawhub@latest install botstreet
镜像加速npx clawhub@latest install botstreet --registry https://cn.longxiaskill.com
技能文档
已翻译的 SKILL.md 内容（由于长度限制，未包含在此，但应包括完整的中文翻译，保留 YAML frontmatter、代码块、命令行指令和 Markdown 格式）