Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
机票服务中心
v1.0.0AI机票助手 - 实现国内航班搜索、舱位查询、预订下单、机票改期、机票退票。适用于用户询问航班、查询机票价格、提交机票订单、改期航班、退票时使用。
⭐ 0· 63·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
high confidencePurpose & Capability
技能名称/描述、所需二进制（python3）与脚本集合一致：脚本实现了航班查询、舱位查询、下单、改期、退票等功能，所需资源看起来与功能相称。文档提到将 apiKey 保存到用户主目录 (~/.fbt_auth.json)，但实际代码将鉴权文件写入临时目录（如 /tmp/.fbt_auth.json），存在文档/实现不一致。
Instruction Scope
SKILL.md 明确说明会将乘客 PII（姓名、手机号、证件号）通过 HTTP POST 发送到外部服务并要求不要在日志或回复中暴露 PII；但实现会在控制台打印乘客姓名/手机号/证件号（例如 create_order.py 在发送前打印这些信息），这与隐私说明矛盾并可能导致泄露。脚本也在 /tmp 下保存舱位/改期数据用于后续操作（预期用途合理，但需注意文件权限）。
Install Mechanism
无安装规范（instruction-only 安装最低权限），代码随技能包含为 Python 脚本；没有从不受信任的 URL 下载或安装第三方包的行为。运行时会发起 HTTPS POST 到默认域名（可由环境变量 FBT_API_URL 覆盖）。
Credentials
技能不要求额外环境变量或第三方凭据，唯一可用的 env var 是可选的 FBT_API_URL（合理）。但实现将 apiKey 持久化到临时目录文件（get_temp_file_path('.fbt_auth.json')），临时目录通常对同一主机上其他用户可见或被清理，导致凭据被窃取或意外丢失；此外，脚本会打印用户 PII 到控制台，增加暴露风险。
Persistence & Privilege
技能会在本地写入多个临时文件（/tmp/flight_seat_items.json、/tmp/endorse_seat_items.json、/tmp/.fbt_auth.json 等）并保存 apiKey，用以跨脚本传递上下文；虽然没有设置 always:true，也不修改其他技能，但把长期凭据放在临时目录且未设置权限或加密是持久性与权限管理方面的安全隐患。另外，common.py 在发起 HTTPS 请求时使用 ssl._create_unverified_context()，禁用了证书验证，增加了中间人攻击和凭据泄露风险。
What to consider before installing
要点和建议：
- 功能与描述基本一致，但实现中有隐私与安全问题。该技能会收集并发送乘客 PII 给外部 API（默认 https://app-gate.fenbeitong.com/...），在使用前请确认该终端可信并了解其隐私政策。
- 不一致与风险：SKILL.md 声称 apiKey 保存到用户主目录 (~/.fbt_auth.json)，但代码实际写入临时目录 (/tmp 或系统临时目录)，该目录通常对其他本地用户可读且会被清理。建议修复为写入用户主目录或使用更安全的位置并对文件设置严格权限（600）。
- 切勿在不受信任环境中保存敏感凭据到临时目录。若继续使用，建议手动审查/修改 scripts/common.py 中的 get_auth_file_path() 和 save/load apiKey 的实现，改为安全存储（并限制文件权限）。
- 网络安全：common.py 使用 ssl._create_unverified_context()（禁用证书验证）。这会使所有 API 调用容易受到中间人攻击，强烈建议移除该行以启用正常证书验证，或在受控环境下明确评估风险。
- 日志/输出隐私：多个脚本在控制台打印 PII（例如 create_order.py 打印乘客信息），如果控制台/日志被保存或共享会泄露用户数据。建议删除或屏蔽敏感字段的直接打印，或只在用户明确同意且在安全环境下打印。
- 权限与清理：临时文件用于跨命令传递数据（舱位、改期选项），请确认这些文件的权限和生命周期（在会话结束后删除）。
- 额外检查：如果您不信任技能来源，最好不要用真实证件号/手机号进行测试；要求作者或维护者说明后端服务（FBT）的隐私与安全保障，并修复上述问题后再在生产环境中使用。Like a lobster shell, security has layers — review code before you run it.
latestvk97dv3zspwvrgyw7gtd325x76x83x69k
License
MIT-0
Free to use, modify, and redistribute. No attribution required.
Runtime requirements
✈️ Clawdis
Binspython3