Miro 管理
v1.1.0通过Miro REST API使用OAuth 2.0、保存的token文件或直接访问令牌来管理Miro。当用户想要连接个人或本地Miro...
0· 13·0 当前·0 累计
by 安全扫描
OpenClaw
可疑
medium confidence该技能似乎实现了合法的Miro API客户端，但存在元数据不一致性（未声明的环境变量、缺少主凭证和Python运行时要求），这降低了透明度，并使得对密钥处理的推理更加困难——在安装前请审查代码和令牌处理。
评估建议
This 技能 应用ears to be a legitimate Miro API 辅助工具, but take these precautions before 安装ing or enabling it: 1) Review scripts/miro_API.py (especially the serve-oauth-callback 处理器) to confirm it binds only to localhost and doesn't 发送 令牌s to unexpected 端点s. 2) Know that the 技能 expects Miro 凭证s (命令行工具ent ID/secret, redirect URI, or 访问 令牌) even though the registry metadata doesn't declare them — don't place secrets inside the 技能 folder; prefer 环境 variables or a local 令牌 file with restrictive file系统 权限s...详细分析 ▾
✓ 用途与能力
The name, description, 技能.md, reference docs, and the included scripts/miro_API.py consistently implement a Miro REST API 命令行工具ent (OAuth flow, 令牌 refresh, board/item operations, 导出s, raw 请求s). The 请求ed operations and code match the described purpose.
ℹ 指令范围
运行time instructions focus on OAuth, 令牌 files, and direct 令牌s and explicitly warn not to bundle secrets. The 技能 exposes a raw 请求/preview-write capability which allows 发送ing arbitrary API calls; the 技能.md recommends confirming payloads before writes. The callback 辅助工具 (serve-oauth-callback) and raw 请求 functionality merit inspection in the script to ensure they only bind to localhost and do not leak data elsewhere.
ℹ 安装机制
No 安装 spec (instruction-only) — lowers supply-chAIn risk. However, the package includes a Python script but the registry metadata 列出s no required binaries; the 技能 implicitly requires a Python 3 运行time to 运行 scripts/miro_API.py. This omission is a transparency issue (the 平台 cannot warn users or provision the 运行time automatically).
⚠ 凭证需求
The 技能.md and script reference 环境 variables (MIRO_命令行工具ENT_ID, MIRO_命令行工具ENT_SECRET, MIRO_REDIRECT_URI, MIRO_访问_令牌) and use local 令牌 files, but the registry metadata declares no required env vars or primary 凭证. The 技能 legitimately needs Miro 凭证s, but the metadata omission 预防s automated gating and increases risk of accidental secret exposure.
✓ 持久化与权限
always:false and normal 模型 invocation 设置tings are 应用ropriate. The 技能 does not 请求 elevated 平台 persistence or modify other 技能s. Note: because it can be invoked autonomously (the 平台 default), granting it 访问 to live Miro 令牌s would allow it to perform API actions; restrict automatic invocation if you do not want background writes.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
安装命令
点击复制官方npx clawhub@latest install miro-management
镜像加速npx clawhub@latest install miro-management --registry https://cn.longxiaskill.com 镜像可用
本土化适配说明
Miro 管理 安装说明： 安装命令：["openclaw skills install miro-management","npx clawhub@latest install miro-management"]
技能文档
Miro 管理 使用此技能通过 REST API 与 Miro 进行交互。 快速开始 获取用户的 Miro 应用客户端 ID、客户端密钥和重定向 URI（如果使用 OAuth）。 首选本地重定向 URI，例如 http://127.0.0.1:4000/auth/miro/callback。 使用 scripts/miro_api.py 进行 OAuth、令牌刷新、板块/项目操作、导出和原始 API 调用。 从以下开始： auth-url serve-oauth-callback list-boards list-board-items 永远不要将客户端密钥、刷新令牌或活跃访问令牌打包到技能包中。 身份验证模式 OAuth 模式 尽可能使用 shell 环境变量： $env:MIRO_CLIENT_ID = '...' $env:MIRO_CLIENT_SECRET = '...' $env:MIRO_REDIRECT_URI = 'http://127.0.0.1:4000/auth/miro/callback' 启动回调帮助程序： python scripts/miro_api.py serve-oauth-callback --port 4000 --token-file .miro/tokens.json 然后生成授权 URL： python scripts/miro_api.py auth-url 打开该 URL，批准应用程序，并让回调帮助程序存储令牌负载。 直接令牌模式 如果用户已经拥有一个有效的 Miro 访问令牌，则跳过 OAuth 并使用以下任一方法： $env:MIRO_ACCESS_TOKEN = '...' python scripts/miro_api.py list-boards 或保存的令牌文件： python scripts/miro_api.py list-boards --token-file .miro/tokens.json 核心工作流
- 确认访问权限
- 检查板块
- 创建或导出内容
- 根据需要刷新令牌