Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
hot-tracker
v1.0.0全网热点客观扫描与去噪排行技能。用于在微博、抖音、小红书、微信公众号、知乎、B站、快手等平台之间抓取当前热点，按讨论度、传播度、转发度、情绪强度、对立程度和时效性综合排序，输出默认 Top10 的去噪热点清单。适用于“最近什么最热”“帮我抓全网热点”“按当前话题度排行”“找高讨论度话题”“做热点监测”这类请求。默...
⭐ 0· 66·0 current·0 all-time
by@e2e5g
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能说明和描述强调对微博、抖音、小红书、微信公号、知乎、B站、快手等平台进行实时抓取并去噪排序，但交付的代码和清单并未包含任何平台爬虫、API 客户端或列明需要的凭据。scripts/rank_analyzer.py 主要做数据统一、打分和聚类，依赖输入 JSON 数据；没有内置抓取器或目标端点，这与“触发后直接开始扫描/联网抓取”的声明不一致。
Instruction Scope
SKILL.md 明确要求“默认自动执行，不先反问用户”，并指示“如果当前环境支持联网，就直接抓取实时热点”。这种自动联网抓取会在未征得额外确认的情况下发起外部请求。且当无网络时会尝试读取“已有榜单快照或用户给的数据文件”，但未限定路径或来源，存在模糊权限边界。总体上，运行时指令可能导致自动的网络访问或对本地/已有数据文件的读取，且没有明确约束或透明的抓取来源。
Install Mechanism
无安装规范（instruction-only + 一个本地脚本），不会在安装阶段下载或写入外部二进制。没有通过不可信 URL 下载代码或运行安装脚本，风险低。
Credentials
技能不要求任何环境变量或凭证，这在表面上是合理（脚本处理标准化 JSON 输入）。但说明要求抓取多个平台的数据且默认联网抓取，现实抓取若需登录或使用私有 API，通常需要凭证——技能没有声明也没有请求这些凭证，产生能力/权限不匹配的疑问（即要么只能抓取公共页面，要么隐式依赖代理/外部工具）。
Persistence & Privilege
manifest 中没有 always:true，默认允许模型自治调用（平台默认）。但 SKILL.md 强调“触发后直接开始扫描，不先反问用户”，这等同于在接到匹配语句时自动进行网络/文件操作，可能超出用户期望。没有显示修改其他技能或持久化敏感配置，因此没有明显的高权限持久存在行为。
What to consider before installing
几点建议（简明可操作）：
- 理解不一致处：技能说明会“直接联网抓取全网平台热榜”，但包内只有一个用于统一/排序/去噪的分析脚本（rank_analyzer.py）；并没有任何爬虫、API 客户端或列出的抓取端点。安装前向作者或发布方确认：实际抓取由谁做？是否会调用外部爬虫/服务？使用哪些 URL？是否需要登录凭证？
- 注意自动执行行为：SKILL.md 指定“默认自动执行、不先反问用户”。如果你不希望在简单询问后就触发网络请求或文件读取，考虑禁用技能的自动或自治调用（平台上关闭自动调用或要求确认）或在使用前明确询问/设置交互式确认。
- 本地/网络数据边界：脚本期望 JSON 格式输入（references/data-format.md），若在无联网环境下会尝试读取“已有榜单快照或用户给的数据文件”。安装/运行前确认它会读取哪些路径或仅使用由你显式提供的文件，避免让技能在主机上搜索或读取任意文件。
- 审查/测试建议：在受控/沙箱环境下先运行：1) 使用离线示例 JSON 测试 rank_analyzer.py 的行为；2) 观察 agent 在“联网可用”情形下会尝试访问哪些域名（网络监控）；3) 要求作者提供或审查抓取器代码或抓取端点清单，如果抓取涉及登录/API，要求明确的凭证需求和存储方式。
- 内容与合规风险：包中包含大量选题和口播模板，容易被用于快速产出吸引眼球或导流内容。若你担心产出可能触及平台合规/敏感内容，应确保人工审核和合规检查流程在自动化链路中被强制执行。
总体结论：技能目的是合理的（热点聚合与去噪排序），但交付物与运行时声明存在明显不一致（缺失抓取实现 + 自动联网/文件读取行为），在充分理解其联网与文件访问边界前建议保持谨慎或在受控环境中试用。Like a lobster shell, security has layers — review code before you run it.
analyticsvk97086d4hd6wtjxbk6cb0a5dzn83v13whot-trackervk97086d4hd6wtjxbk6cb0a5dzn83v13wlatestvk97086d4hd6wtjxbk6cb0a5dzn83v13wsocial-mediavk97086d4hd6wtjxbk6cb0a5dzn83v13w
License
MIT-0
Free to use, modify, and redistribute. No attribution required.