Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
全球海岛选岛助手
v1.0.8全球海岛选岛助手，根据出行人数、预算、飞行时间、特殊要求推荐最适合的海岛。覆盖马尔代夫、泰国、巴厘岛等热门及帕劳、斐济、丽贝岛等小众海岛。当用户提到"选岛"、"推荐海岛"、"我要去海岛"、"哪个海岛适合"、"海岛推荐"、"蜜月去哪"、"亲子海岛"、"海边度假"、"想去海边"、"海岛旅游"、"岛屿推荐"等意图时自动触发。
⭐ 5· 122·0 current·0 all-time
by@amokay
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Benign
high confidencePurpose & Capability
技能名和描述是“选岛/推荐海岛”。SKILL.md 只收集出行人数、预算、出发地、偏好、时间等信息，并在完成流程后可选调用 flyai-cli 搜索商品，整体能力与目的匹配，没有要求与选岛无关的云凭据或系统级访问。
Instruction Scope
运行时指令限定为按步骤询问用户并在完成 5 步后（可选）调用本地 flyai-cli 执行 `flyai fliggy-fast-search --query "..."`。指令没有要求读取敏感系统文件或环境变量，也没有指示将用户数据发送到未知第三方。唯一需要注意的是：若本地已配置 flyai-cli，则该工具会使用本地凭证进行请求（这是文档中声明的行为）。
Install Mechanism
技能没有强制安装步骤，仅将 @fly-ai/flyai-cli 列为可选 npm 全局包（install: npm install -g @fly-ai/flyai-cli）。可选依赖来自公共 npm，属于中等风险——建议用户自己审查该 npm 包及其权限，或在不安装的情况下使用仅本地推荐功能。
Credentials
注册表中没有要求任何环境变量或凭证，比例合适。但 SKILL.md 明确会使用“用户本地配置的飞猪 API 凭证”（如果 flyai-cli 已配置）。这在功能上是合理且有说明，但用户应意识到：安装并配置 flyai-cli 会将其凭证用于检索商品数据。
Persistence & Privilege
技能没有请求常驻(always)或修改其他技能/系统配置的权限。SKILL.md 声称不存储对话数据，且 registry flags 显示 always:false，权限范围有限。
Assessment
技能本身是一份按步询问用户需求并可选调用本地 flyai-cli 的“选岛”说明书，整体一致且可理解。安装前请注意：
- 如果你不想暴露本地飞猪/飞AI凭证，可不安装 flyai-cli，技能仍能给出目的地推荐，但不会显示实时商品链接。
- 如果要安装 flyai-cli，请先在独立环境审查 @fly-ai/flyai-cli 包（npm 页面、源码或 README），确认其行为和所需权限，再用受控凭证配置。避免在全局环境或带有敏感凭证的账号上直接安装未经核验的软件。
- 技能不会要求其他云密钥或系统文件访问；如后续版本在 SKILL.md 之外增加了执行脚本或外部下载，应重新审查。Like a lobster shell, security has layers — review code before you run it.
familyvk974kzkw9h5jtt9aygpm024z55841gvsholidayvk974kzkw9h5jtt9aygpm024z55841gvshoney moonvk974kzkw9h5jtt9aygpm024z55841gvsislandvk974kzkw9h5jtt9aygpm024z55841gvslatestvk977mnw8p2w9dnt8v1waygn6kx842xexoceanvk974kzkw9h5jtt9aygpm024z55841gvsplanvk974kzkw9h5jtt9aygpm024z55841gvsseavk974kzkw9h5jtt9aygpm024z55841gvstravelvk974kzkw9h5jtt9aygpm024z55841gvsvacationvk974kzkw9h5jtt9aygpm024z55841gvs
License
MIT-0
Free to use, modify, and redistribute. No attribution required.