安全扫描
OpenClaw
安全
high confidence该技能的代码、说明和安装程序均与本地 corkboard/dashboard 集成保持一致;包内未发现任何无关或隐蔽行为,但仍需注意常规安装和密钥管理风险。
评估建议
此技能如其所述:安装并运行本地 corkboard 网页应用,并提供 CLI 发布便签。安装前,请确认 GitHub 仓库可信(安装器会克隆该仓库)。注意两个实际风险:(1) npm install 会运行第三方包——属常规操作,但存在供应链暴露;如担心,请在受控机器上运行安装器并审查 package.json。(2) 仪表板会自动生成并嵌入前端构建的 bearer token(VITE_CORKBOARD_TOKEN);若将前端或 API 暴露到公网,该 token 可能泄露。请保密 .env,未经反向代理/认证勿将端口发布到公网,若怀疑 token 泄露请轮换 CORKBOARD_TOKEN。如计划接入 Home Assistant,请将 HA_TOKEN 视为高度敏感,切勿置于任何公网可达实例。...详细分析 ▾
✓ 用途与能力
名称/描述与所含脚本和文档一致:安装器克隆 corkboard 仓库,构建 Node 应用,CLI 助手向该应用发送 pins。所需工具(node、npm、git、curl、jq)及 .env token 均与运行本地网页仪表板保持一致。
ℹ 指令范围
运行时指令和辅助脚本会显式从本地 .env 读取 CORKBOARD_TOKEN,并用 curl 访问 dashboard API。这符合所述用途,但文档也指出客户端会将 VITE_CORKBOARD_TOKEN 打包进前端 bundle(若前端公开部署,token 可能泄露)。SKILL.md 建议保持 .env 私密,并通过反向代理暴露服务。
ℹ 安装机制
Installer 是一个 shell 脚本,它会从声明的 GitHub 仓库克隆项目,并运行 `npm install` 和 `npm run build`(可选使用 PM2)。从 GitHub 克隆并运行 npm 适用于 Node 应用,但存在常见的供应链风险(npm postinstall 脚本、第三方依赖)。仓库地址是 GitHub URL(非任意 IP/短链接),比任意下载风险更低。
ℹ 凭证需求
技能元数据未声明任何必需的环境变量,这是准确的;运行时使用了 CORKBOARD_TOKEN 以及可选的集成变量(HA_URL/HA_TOKEN、LAMP_SERVER、CORKBOARD_ALERT_URL),这些变量与可选功能相关。这些变量与仪表板功能相称,但请注意:HA_TOKEN 和 CORKBOARD_TOKEN 是敏感信息。另请注意,VITE_CORKBOARD_TOKEN 在构建时有意打包进客户端 bundle,可能会将令牌暴露给任何能加载前端的人。
✓ 持久化与权限
always:false 与常规自主调用。Installer 将 skill 复制到 OpenClaw workspace 并启动本地服务(可选 PM2)。除常规服务启动与 workspace 注册外,不会修改其他 skill 或系统级配置。
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
corkboard_dashboard 技能首发 - 支持在 Carl's Corkie 仪表板实时发布与管理 corkboard 钉、lamp 提示与项目管道 - 涵盖任务、提醒、机会、链接、简报、包裹追踪、文章摘要、YouTube 与想法管理 - 提供已删钉历史恢复与多轨项目交接工具 - 内置 shell 助手与 REST API,便于集成与自动化 - 支持钉内联编辑、cellar 未来想法及可自定义紧急度
● 无害
安装命令
点击复制官方npx clawhub@latest install corkboard-dashboard
镜像加速npx clawhub@latest install corkboard-dashboard --registry https://cn.longxiaskill.com镜像同步中
技能文档
--- 名称:corkboard_dashboard 描述:在 Carl's Corkie 仪表板中发布并管理实时软木板图钉、灯号提示、已删除历史恢复及多轨道项目流水线。需要把可操作任务、警报、机会、链接、简报、包裹追踪、文章摘要、YouTube 视频或酒窖创意展示到板上时使用。 主页:https://github.com/Grooves-n-Grain/carls-corkie 元数据:{"openclaw":{"emoji":"📌"}}
# Corkboard Dashboard 需要立即把内容放到板上时使用此技能。一次性工作用图钉,多步骤协作项目用项目,支持轨道、交接与任务清单。
快速开始
- 安装或更新仪表板:
bash
export CORKBOARD_REPO="https://github.com/Grooves-n-Grain/carls-corkie.git" # 首次安装
bash {baseDir}/scripts/install.sh
`
将工具指向运行中的 API。本机用localhost,局域网用 LAN IP,若已暴露/api/可用反向代理公网域名。仪表板需 bearer token;助手脚本自动从安装目录.env加载:
bash
CORKBOARD_API=http://localhost:3010
# 或 LAN: CORKBOARD_API=http://:3010
# 或公网反向代理(仅 API 路由):CORKBOARD_API=https://corkie-api.example.com
# CORKBOARD_TOKEN 自动加载;手动设置:
export CORKBOARD_TOKEN="$(grep '^CORKBOARD_TOKEN=' /path/to/dashboard/.env | cut -d= -f2-)"
`
- 用自带助手发布(自动加认证头):
`bash
bash {baseDir}/scripts/corkboard.sh add task "Review PR" "Auth refactor complete" 1
bash {baseDir}/scripts/corkboard.sh add alert "Server down" "API returning 503s" 1
bash {baseDir}/scripts/corkboard.sh add link "Error logs" "https://logs.example.com/errors"
bash {baseDir}/scripts/corkboard.sh add-opportunity "Wholesale inquiry" "Follow up with studio buyer" 2
bash {baseDir}/scripts/corkboard.sh add-briefing "Morning briefing" "## Today\n- Ship the fix\n- Reply to supplier"
`
直接用 REST API 管理项目、酒窖创意、历史恢复、轨道更新、灯号状态。所有/api/请求需带Authorization: Bearer $CORKBOARD_TOKEN:
bash
curl -X POST "$CORKBOARD_API/api/pins" \
-H "Authorization: Bearer $CORKBOARD_TOKEN" \
-H "Content-Type: application/json" \
-d '{"type":"task","title":"Review PR","content":"Auth refactor complete","priority":1}'
curl -X POST "$CORKBOARD_API/api/projects" \
-H "Authorization: Bearer $CORKBOARD_TOKEN" \
-H "Content-Type: application/json" \
-d '{"name":"Launch blog","emoji":"✍️","phase":"build","tracks":[{"name":"Write posts","owner":"claude"},{"name":"Review","owner":"you"}]}'
` 编辑图钉
任务与笔记图钉可在仪表板双击标题内联编辑;API 用 PATCH /api/pins/:id:
`bash
curl -X PATCH "$CORKBOARD_API/api/pins/" \
-H "Authorization: Bearer $CORKBOARD_TOKEN" \
-H "Content-Type: application/json" \
-d '{"title":"Updated title","content":"New content here"}'
` 选择合适载体
一次性任务、警报、链接、笔记、简报、追踪更新或短期提醒用pin。多步骤、分阶段、带轨道与任务清单的协作工作用project。未来创意用projectStatus: "cellar"或POST /api/projects/:id/cellar,暂离活跃板面。轨道归属:claude、you或shared;完成轨道可自动生成交接任务图钉。- 误删恢复用历史与还原路由,无需重建。
优先级:1紧急,2默认,3低。仪表板首次运行生成共享 bearer token(CORKBOARD_TOKEN),请保密.env;如需禁用认证(仅反向代理层鉴权),在.env设置CORKBOARD_AUTH=disabled。
常用命令
`bash
bash {baseDir}/scripts/corkboard.sh list
bash {baseDir}/scripts/corkboard.sh complete
bash {baseDir}/scripts/corkboard.sh delete
bash {baseDir}/scripts/corkboard.sh add-email [preview] [email_id]
bash {baseDir}/scripts/corkboard.sh add-github [description] [stars] [forks]
bash {baseDir}/scripts/corkboard.sh add-idea