by 安全扫描
OpenClaw
安全
high confidence该技能的指令与目标一致（从公开网站提取设计 token）；使用 npx/playwright 抓取并渲染站点属预期行为，但需审查下载/生成产物，并谨慎运行动态 npm 包。
评估建议
该技能功能如其描述：渲染公开页面并输出设计 token 文件。运行前请确认已安装 Node/npm/npx，并注意 npx 会从 npm 仓库拉取并执行包（Playwright 会下载 Chromium）。降低风险建议：1) 核对即将运行的 npm 包名/版本（避免运行陌生或未锁定的包名）；2) 在沙箱/容器或可回滚环境执行；3) 先检查 .extract-design-system/raw.json 与 normalized.json 再应用生成的 token；4) 勿对私有或需认证的内部站点运行（仅支持公开 URL）；5) 若要自动化，请从可信源安装 CLI 或先审计源码。...详细分析 ▾
ℹ 用途与能力
技能名称与描述与运行指令一致：从公开网站提取设计基元并生成 starter token 文件。小差异：技能元数据未声明所需二进制文件，但 SKILL.md 要求运行 npx 与 playwright（即需 Node/npm）。应补充声明对 Node/npm 与网络访问的需求。
✓ 指令范围
指令始终围绕声明目标：确认目标 URL 为公开、运行提取 CLI（通过 npx）、审查生成的 JSON/CSS token 文件。SKILL.md 明确提示将提取输出视为不可信，并在修改现有项目文件前需征得同意，防止范围蔓延。技能会抓取并渲染第三方站点内容（通过 headless Chromium），应将此内容视为不可信输入。
ℹ 安装机制
注册表中无安装规范（仅指令）。运行时使用 npx 执行包（npx extract-design-system 与 npx playwright install chromium）。npx 会动态从 npm 下载并执行包，playwright 会下载 Chromium——属常见做法，但存在中等风险，因代码与二进制均来自外部仓库。SKILL.md 未锁定或记录包来源/版本，透明度降低。
✓ 凭证需求
未请求任何环境变量、凭证或配置路径。技能仅作用于公开 URL，不索取无关密钥，符合其用途。
✓ 持久化与权限
技能未请求常驻/始终运行（always:false），由用户调用。不声明修改其他技能或系统设置。生成文件写入项目本地路径；SKILL.md 要求在修改现有应用代码前征得同意。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.1.92026/4/4
- 向 SKILL.md 添加详细使用流程与预期，说明如何从公开网站提取并初始化设计基元。 - 阐明安全边界，防止意外覆盖文件或对提取的设计系统产生错误假设。 - 提供提取 token、生成 starter 文件及审查输出的明确指令。 - 更新文档，指导在修改项目文件或应用提取样式前的确认步骤。
● Pending
安装命令
点击复制官方npx clawhub@latest install extract-design-system
镜像加速npx clawhub@latest install extract-design-system --registry https://cn.longxiaskill.com