by 安全扫描
OpenClaw
可疑
high confidence该技能声称可发布至 Tumblr，却内置硬编码 OAuth 凭据，会在无需你账户的情况下发布到第三方博客——存在重大不符与风险。
评估建议
除非您理解并接受该技能将使用硬编码的 OAuth 凭据向嵌入的 Tumblr 账号（remoneofcourse）发布内容，否则请勿安装或运行此技能。若您希望为自己的 Tumblr 实现类似功能，请：(1) 勿信任或使用嵌入的令牌——若您控制该账号，请立即撤销；(2) 优先选择通过环境变量或显式配置步骤要求您提供自有 OAuth 密钥的版本；(3) 在本地审查并编辑脚本，将硬编码密钥替换为您的凭据，并在发布前增加显式确认步骤；(4) 避免在敏感机器或能访问私密数据的环境中直接运行未修改版本。硬编码凭据与自动发布行为是主要风险点。...详细分析 ▾
⚠ 用途与能力
该技能的目的是让用户生成并发布帖子到 Tumblr，但代码中硬编码了 Tumblr OAuth 凭据（consumer secret、access token、token secret）以及固定的 BLOG_NAME（remoneofcourse）。它没有提供用户输入自己 Tumblr 凭据的方式。这意味着运行该技能所创建的帖子将发布到嵌入的账户，而非用户自己的账户——与所述目的不符。
⚠ 指令范围
SKILL.md 称工作流只提五个问题便“直接发布”，无需二次确认；脚本运行后确实自动发帖。该自动发布行为可能导致意外公开内容。SKILL.md 还提到 GEMINI_API_KEY 用于图像生成，但脚本用 uv 调用 generate_image.py，并未引用 GEMINI_API_KEY——文档与代码不一致。
✓ 安装机制
这是一个仅含指令的技能，仅包含一个 Python 脚本，无安装规范，降低了磁盘安装风险。它确实需要 python3 并在 PATH 中提供 'uv'；若有可用外部图像生成器脚本，'uv' 将用于运行该脚本。
⚠ 凭证需求
requires.env 为空，但代码中却嵌入了完整的 OAuth 密钥（consumer secret 和 access token secret）。一边声称无需凭据，一边却内置了第三方账户的有效凭据，这种做法极不合理且令人怀疑。脚本不会读取用户提供的 env 变量，因此若不修改脚本，就无法简单地把发布目标改为你自己的账户。
✓ 持久化与权限
该技能未配置为 always:true，也不会修改其他技能或系统级配置。它仅在显式调用时运行，但其自动发布行为可能在运行时带来意外操作的风险。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
初始版本
● 可疑
安装命令
点击复制官方npx clawhub@latest install tumblr-auto-post
镜像加速npx clawhub@latest install tumblr-auto-post --registry https://cn.longxiaskill.com镜像同步中
技能文档
自动生成傅盛风格文章 + 封面图，发布到 Tumblr。
配置（已预置）
``
Tumblr 账号：remoneofcourse
Consumer Key：6hFfvv3WkP46yy6Bgif9f8n0rOhli7eOTHOnBJ07PXk7njZrYK
Access Token：55OHtil3amJeXLDnTGknXgCGJD7SLM0f09LaS7c0fTkV7w7vAS
` 完整对话流程（自动模式）
第1步：询问主题
"想发什么主题？"
第2步：询问目标读者
"目标读者是谁？"
- 新手（零基础，需要通俗易懂）
- 从业者（有基础，讲内行门道）
- 泛用户（普通读者，故事感优先）
第3步：询问写作目标
"写作目标是什么？"
- 涨粉（标题党、结构化、引发共鸣）
- 转化（行动号召、痛点共鸣）
- 品牌表达（价值观输出、专业背书）
- 观点输出（有态度、有争议、引发讨论）
第4步：询问期望长度
"期望多长？"
- 短文：800-1200字
- 中长文：1500-2500字
第5步：询问内容偏好
"内容需要哪些元素？"
- 数据支撑
- 真实案例
- 金句
- 小标题
- 全部都要
第6步：自动生成并发布
根据以上输入生成完整文章 → 生成封面图（如有 GEMINI_API_KEY）→ 直接发布到 Tumblr → 返回文章链接
无需额外确认，5个问题回答完毕即触发发布
傅盛写作风格特点
- 开头：用一个具体场景、困惑或痛点引出主题
- 结构：用"为什么"和"是什么"驱动思考
- 类比：把商业/技术概念用生活化的例子讲清楚
- 态度：观点鲜明，不回避矛盾
- 结尾：总结 + 给出一个可执行的行动建议
- 数据：用数据支撑论点，但不堆砌数字
文章模板
根据主题和目标读者定制化生成：
- 场景切入（一个具体问题或现象）
- 点出矛盾（大多数人的误区）
- 三点论述（方向、节奏、接受不完美）
- 总结升华 + 行动引导
命令行
`bash
python3 ~/.openclaw/workspace/skills/tumblr-auto-post/scripts/tumblr_post.py "主题"
`` 注意
- 图片生成需要 GEMINI_API_KEY（可选，跳过后以纯文本发布）
- 封面图生成需要 uv（已安装）+ GEMINI_API_KEY
- 回答完5个问题后自动发布，无需二次确认