在安装或发布前扫描 OpenClaw 技能文件夹以排查安全隐患。检测数据窃取、凭证盗取、提示词注入、破坏性操作等风险。
技能扫描仪
功能概述
技能扫描仪是一项面向实际任务的技能，主要用于OpenClaw 代理技能的安全扫描仪；红旗的系统分析；
核心要点
- 例: 它抓住的是什么；
- FlagsQQ 关键度；
- Data 过滤、 证书访问、 安全覆盖、 解禁。
使用与执行
它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。
结果检查与注意事项
实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。
Skill Scanner
OpenClaw 智能体技能的安全扫描器。通过静态分析识别高风险行为（red flags）。
使用方法
node scripts/scanner.js[--verbose] [--json] [--summary] [--ignore ] [--include-self]
示例
# 在启用某个已下载的技能前，先对其进行扫描 clawhub inspect some-skill node scripts/scanner.js ./skills/some-skill --verbose # 在发布自己的技能前进行扫描 node scripts/scanner.js ./skills/my-skill # 输出 JSON 格式结果，便于自动化集成 node scripts/scanner.js ./skills/my-skill --json # 输出单行摘要，适用于心跳检测（heartbeat checks） node scripts/scanner.js ./skills/my-skill --summary # 包含扫描器自身代码（默认关闭，以减少对 scanner 自身的误报干扰） node scripts/scanner.js ./skills/skulk-skill-scanner --include-self
检测范围
| 严重程度 | 检测项 |
|---|---|
| 🔴 Critical | 数据外泄、凭据访问、安全机制绕过、破坏性命令 |
| 🟠 High | 混淆行为（如 base64 编码 / eval 调用）、未知网络访问、环境变量扫描、权限提升、隐藏指令 |
| 🟡 Medium | 向 workspace 外写入文件、安装第三方包（供应链风险）、以用户名义发送消息、持久化定时器/自动化任务 |
| 🔵 Info | API key 引用、宽泛的工具访问请求 |
评分规则
- 每条唯一触发的规则按等级扣分：critical=30 分，high=15 分，medium=5 分，info=0 分
- 得分 75–100：✅ PASS
- 得分 50–74：⚠️ WARN
- 得分 0–49 或任意 critical 触发：❌ FAIL
- FAIL 时进程退出码为 1（兼容 CI 流程）
可信域名白名单
已知合法的 API 域名已加入白名单，用于降低网络相关规则的误报率。如需自定义，请编辑 scripts/scanner.js 中的 SAFE_DOMAINS 数组。
局限性
本工具基于静态模式匹配 —— 可识别明显及中等程度混淆的攻击行为，但无法检测：
- 复杂的多步骤社会工程攻击
- 运行时生成的 URL 或动态外泄行为
- 与合法技能行为高度一致的攻击手法
它仅作为第一道防线，而非绝对保障。在授予敏感权限前，请务必人工审查技能代码。
热门AI工具
相关专题
本专题聚焦DBeaver数据库连接配置与管理，覆盖从新建连接、选择数据库类型到填写连接参数和验证连接的完整流程。针对MySQL、PostgreSQL、SQL Server等常见数据库，整理相应的连接设置方法，并提供驱动缺失、认证失败和连接异常等问题的排查方向。
0
2026.11.04
本专题围绕XORM框架的结构体映射展开，说明表名与字段的命名策略、xorm标签常用属性、主键自增与时间字段自动填充，并演示Sync2自动建表、增量字段升级、索引声明与反向生成结构体的完整流程。
0
2026.11.04
本专题聚焦XORM框架的配置与连接环节，拆解MySQL、PostgreSQL、SQLite、SQL Server的DSN写法与驱动选择，讲清连接池参数、多数据源拆分、读写分离与超时重连的处理方式，并补充容器与兼容数据库的适配经验。
0
2026.11.04
本专题聚焦XORM框架的配置与连接环节，拆解MySQL、PostgreSQL、SQLite、SQL Server的DSN写法与驱动选择，讲清连接池参数、多数据源拆分、读写分离与超时重连的处理方式，并补充容器与兼容数据库的适配经验。
0
2026.11.04
本专题聚焦XORM框架的配置与连接环节，拆解MySQL、PostgreSQL、SQLite、SQL Server的DSN写法与驱动选择，讲清连接池参数、多数据源拆分、读写分离与超时重连的处理方式，并补充容器与兼容数据库的适配经验。
0
2026.11.04
本专题梳理XORM框架的入门路径，从框架定位、依赖安装、连接数据库到跑通第一个增删改查示例，讲清Engine初始化、日志开启与项目目录规划，并对比GORM等同类ORM的差异，帮助Go开发者建立整体认知。
0
2026.11.04
本专题聚焦Docker Desktop容器端口映射与访问配置，整理从创建容器、设置端口绑定到验证本地服务访问的操作流程。针对端口被占用、映射配置错误、容器服务无法访问等情况，也提供相应的检查方向，方便用户完成端口配置。
0
2026.11.03
想使用Docker Desktop将本地项目构建成Docker镜像？本专题围绕镜像构建的实际操作展开，介绍Dockerfile编写、构建命令使用、镜像标签设置和构建日志查看等内容，同时整理镜像无法生成、依赖安装失败及构建缓存异常等问题的排查思路。
0
2026.11.03
本专题聚焦Docker Desktop容器创建与运行配置，介绍通过本地镜像或远程镜像创建容器的方法，以及容器启动、终端访问、日志查看和基础管理等操作。针对端口冲突、参数配置不当、容器无法启动等情况，也整理了相应的排查方向。
0
2026.11.03
热门下载
相关下载
精品课程
共6课时 | 12.1万人学习
共79课时 | 161.7万人学习
共6课时 | 54.7万人学习
