Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
easytravelwithchild
v1.0.0帮助带娃家长在周末或假期规划亲子出行方案，包括：筛选提供高质量免费儿童游乐场的酒店、对比同类酒店、根据孩子性别/性格/年龄推荐适合的游玩场地、判断是否需要家长全程陪伴，并提供目的地周边可选方案。当用户提到带孩子出行、亲子酒店、儿童游乐、周末遛娃等场景时使用。
⭐ 1· 55·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能主旨（为带娃家庭检索亲子酒店/套餐并给出方案）与其脚本行为基本一致：脚本通过 flyai-cli 查询飞猪实时数据并解析返回结果。问题在于 manifest/registry metadata 声称“无需二进制/环境变量/凭证”，但 README 和脚本明确依赖 flyai-cli（以及运行时需要 bash/python），这是一个不一致点 —— 合理用途会需要这些依赖，但它们没有在技能元数据中声明。
Instruction Scope
SKILL.md 明确要求先运行包含查询的脚本以获取实时数据并以这些数据产出推荐，脚本仅调用 flyai CLI、处理 JSON 并输出结果，没有看到要求读取用户主目录、凭证文件或其它与功能无关的系统路径。SKILL.md 强制“不得跳过脚本”有助于数据准确性，但不应被视为恶意指令。
Install Mechanism
技能包本身没有 install spec（instruction-only / scripts），但 README 建议通过 npx/ali-skills 安装并全局安装 @fly-ai/flyai-cli（npm）。这种外部工具安装依赖未在技能元数据中声明，且 flyai-cli 是来自第三方 npm 包（需要信任）。因为没有集中安装说明或已验证的发布来源，安装 flyai-cli 有中等风险，建议在受控环境/沙箱中进行，并验证 flyai-cli 的来源与发布仓库。
Credentials
技能未在 metadata 中声明需要任何环境变量或主凭证，但其运行时依赖 flyai-cli 来访问飞猪数据，通常此类 CLI 需要配置 API key / 登录凭证（未在技能中列明）。这是不一致且值得注意的：用户可能需要在本地为 flyai-cli 提供凭证（或浏览器登录），而技能清单没有把这些凭证作为必需项告知。
Persistence & Privilege
技能没有设置 always:true，也不请求修改其他技能或系统配置。它仅包含可执行脚本并在运行时调用外部 CLI；在权限/持久性方面没有超出合理范围的请求。
Scan Findings in Context
[unicode-control-chars] unexpected: SKILL.md / 文件中检测到 unicode 控制字符（例如可见/不可见的 bidi/control chars）。这类字符有时用于格式化/对齐，但也可能用来隐藏或混淆文本（比如在审查或自动化扫描时改变可见内容）。就本技能而言，并没有发现明显的恶意指令，但建议审查原始文件的不可见字符，确保没有被注入或篡改。
What to consider before installing
要点与建议（面向非技术用户）：
1) 目的性：技能看起来确实是为“带娃出行找亲子酒店/套餐”设计，使用飞猪实时数据并给出结构化推荐，这与描述一致。
2) 关键不一致：技能包没有在元数据里声明任何运行时依赖或凭证，但 README 和脚本要求安装并使用第三方 CLI（flyai-cli）来访问飞猪数据。也就是说，你需要在自己的环境中安装并配置额外工具/凭证，技能本身没有把这些需求显式列出。
3) 提示注重点：SKILL.md 中被检测到 unicode 控制字符（可能是无害的排版字符，也可能用于隐藏或混淆），建议在安装/使用前打开原始文件查看不可见字符或让开发者说明这些字符的用途。
4) 操作建议：
- 在可信的受控环境（例如本地机器的容器或受限制的测试账号）中先试运行脚本，不要在包含敏感凭证的生产环境运行。
- 在安装 flyai-cli 前，核实该 npm 包的发布仓库、维护者与评分（确认不是垃圾/恶意包）。
- 查清 flyai-cli 是否需要 API key / 登录；如果需要，确认凭证只配置在你信任的账户/环境中，并理解该 CLI 会向哪些远程服务发出请求（通常是飞猪/Fliggy）。
- 要求技能作者在技能元数据中明确列出必需的二进制（bash/python3/flyai）、安装步骤与所需的环境变量/凭证说明，避免“隐含依赖”。
- 若对不可见字符或来源存疑，可要求作者提供技能的公开源码仓库或主页并验证其来源。
5) 若你希望我进一步帮助：我可以（A）检查 flyai-cli 的 NPM 仓库/源码以评估风险；（B）帮你审查 SKILL.md 的原始字节流以显示并解释不可见字符；或（C）提供一个安全的测试步骤清单以在隔离环境中运行这些脚本。Like a lobster shell, security has layers — review code before you run it.
latestvk9779jjv390xa9c9s0rsbv09xd840qag
License
MIT-0
Free to use, modify, and redistribute. No attribution required.