技能安全审查

在安装或运行技能前进行安全扫描。

功能

• - 文件扫描：检查可疑的JavaScript/Shell脚本
• 模式匹配：识别恶意代码模式（eval、exec、Base64编码载荷等）
• 网络请求检测：检测潜在的外向数据泄露
• 权限检查：分析危险操作（文件删除、进程控制等）

使用方法

bash

扫描当前工作区的技能目录

扫描指定路径

扫描并生成详细报告

仅检查危险模式（不执行）

检测规则

高风险

• - eval() / exec() 动态代码执行
• child_process 中的Shell注入
• Base64编码的隐蔽命令
• 凭据或密钥硬编码
• process.env 中的敏感数据访问

中风险

• - 文件系统操作（写入/删除）
• 网络请求（HTTP/TCP）
• 子进程生成
• 定时器/延迟执行

低风险

• - 加密操作
• 日志记录
• 配置文件读取

输出示例

$ skill-vet scan ./my-skill

🔍 正在扫描：./my-skill

📁 已扫描文件：12
⚠️ 发现问题：2

⚠️ [中风险] my-skill.js:45
模式：child_process.spawn 使用 shell:true
风险：潜在的Shell注入

⚠️ [低风险] my-skill.js:78
模式：console.log 包含潜在敏感数据
风险：信息泄露

✅ 扫描完成。请在使用前审查问题。

集成

在OpenClaw中使用时，可以配合技能创建工具或手动调用：

bash

在安装新技能前先扫描