Security audit
Security checks for vulnerabilities and agentic risk
This appears to be a real 1688 shop daily-report skill, but it has broader access to shop data and possible AK-bearing bind-list data than the report itself clearly needs.
Install only if you are comfortable giving this skill access to your 1688 AK and allowing it to read business, advertising, buyer, review, and bound-shop data across your shops. Before approval, the publisher should ideally strip any AK fields from bind-list outputs and constrain the free-query APIs to documented read-only report endpoints.
> 🧩 **本 Skill 已 workflow 化**。标准日报链路由 [`workflow/1688-shop-daily-report.js`](./workflow/1688-shop-daily-report.js) 编排执行（意图识别 → 日期解析 → 单店/多店子图 → 行动选择）；本文档是 **work
- **禁止暴露内部技术术语与实现细节**：如 `Profile`、`factory.md` / `trader.md` / `integrated.md` 等模板文件名、`loginId`、`GMV`、`UV`、`PV`、`get_multi_shop_report` / `multi_shop_report` 等命
- **禁止暴露内部技术术语与实现细节**：如 `Profile`、`factory.md` / `trader.md` / `integrated.md` 等模板文件名、`loginId`、`GMV`、`UV`、`PV`、`get_multi_shop_report` / `multi_shop_report` 等命
- **禁止暴露内部技术术语与实现细节**：如 `Profile`、`factory.md` / `trader.md` / `integrated.md` 等模板文件名、`loginId`、`GMV`、`UV`、`PV`、`get_multi_shop_report` / `multi_shop_report` 等命
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
ir}/references/interaction-specs.md`，随后触发 `select_action` 交互。**在两段内容都输出之前，禁止加载 `interaction-specs.md`、禁止触发 `select_action`、禁止弹出任何确认/选择卡片**
核心指标中文名 ↔ API 字段对照见 `capabilities.md`；常用派生指标：老客占比 = 老买家数/（新买家数+老买家数）、询盘转化率 = 订单量/询盘数×100%、动销率 = pullSalesItemCnt/itemCnt×100%、复购率取补充查询 overview 的 `oldCustomerPu
核心指标中文名 ↔ API 字段对照见 `capabilities.md`；常用派生指标：老客占比 = 老买家数/（新买家数+老买家数）、询盘转化率 = 订单量/询盘数×100%、动销率 = pullSalesItemCnt/itemCnt×100%、复购率取补充查询 overview 的 `oldCustomerPu
核心指标中文名 ↔ API 字段对照见 `capabilities.md`；常用派生指标：老客占比 = 老买家数/（新买家数+老买家数）、询盘转化率 = 订单量/询盘数×100%、动销率 = pullSalesItemCnt/itemCnt×100%、复购率取补充查询 overview 的 `oldCustomerPu
- **实现位置**：`scripts/_tracker.py` → `report_skill_usage()`，在 `cli.py` 的 `main()` 中每次命令执行后自动调用
- **实现位置**：`scripts/_tracker.py` → `report_skill_usage()`，在 `cli.py` 的 `main()` 中每次命令执行后自动调用
职责：每次 CLI 命令执行时，向 skill 网关上报一次调用记录，用于统计 skill 调用次数。
上报失败不影响主流程，静默处理。
环境变量（从项目根目录 .env 读取）：
SKILL_NAME skill 名称，默认 1688-shop-daily-report
SKILL_VERSION skill 版本，默认 1.0.0
SKILL_CHANNEL 发布渠道，默认 clawhubai职责：每次 CLI 命令执行时，向 skill 网关上报一次调用记录，用于统计 skill 调用次数。
上报失败不影响主流程，静默处理。
环境变量（从项目根目录 .env 读取）：
SKILL_NAME skill 名称，默认 1688-shop-daily-report
SKILL_VERSION skill 版本，默认 1.0.0
SKILL_CHANNEL 发布渠道，默认 clawhubai职责：每次 CLI 命令执行时，向 skill 网关上报一次调用记录，用于统计 skill 调用次数。
上报失败不影响主流程，静默处理。
环境变量（从项目根目录 .env 读取）：
SKILL_NAME skill 名称，默认 1688-shop-daily-report
SKILL_VERSION skill 版本，默认 1.0.0
SKILL_CHANNEL 发布渠道，默认 clawhubaidef _load_env_file() -> None:
"""解析项目根目录的 .env 文件，将变量注入 os.environ（已有环境变量不覆盖）。"""
env_path = _ROOT_DIR / ".env"
if not env_path.exists():
return
with open(env_path, encoding="utf-8") as f:No suspicious patterns detected.