Back to skill
Skillv1.3.0
ClawScan security
Position Risk Manager · ClawHub's context-aware review of the artifact, metadata, and declared behavior.
Scanner verdict
ReviewMar 20, 2026, 4:14 PM
- Verdict
- Review
- Confidence
- medium
- Model
- gpt-5-mini
- Summary
- 技能总体目标与所含脚本大体一致，但文档与文件清单存在不一致、并且脚本依赖第三方库（akshare）会进行网络访问；在信任作者之前请先核实缺失的脚本和外部依赖并在隔离环境中运行。
- Guidance
- 简明建议： - 文档与包内文件不一致：SKILL.md 提到的脚本（scripts/trailing_stop.py、scripts/scaled_exit.py）和某些参考文件在清单中缺失。安装前向发布者确认完整文件或更新版，否则功能可能不完整。 - 第三方依赖与网络访问：主脚本会尝试导入 akshare（用于获取行情），如果你安装该库，它会发起网络请求以获取市场数据。仅在信任 akshare 包来源（PyPI）并了解其行为时才安装，或在隔离环境/虚拟环境中运行以降低风险。 - 代码审查：虽然当前脚本看起来只做本地计算且不上传数据，但在安装前最好手动打开并快速审查 scripts/position_calculator.py（已包含）以确认没有隐藏的外联或泄露行为。 - 运行建议：首次运行请在受限环境（虚拟机或容器）或虚拟环境中执行；如需联网获取实时报价，可考虑手工提供价格参数而不安装 akshare。 - 信任来源：源码作者与主页未知（source/homepage 均未提供），这增加了供应链信任的不确定性；如果你依赖该技能用于重要决策，要求作者提供完整源码和说明将有助于降低风险。 如果你愿意，我可以： - 帮你检查 scripts/position_calculator.py 的完整内容（已经部分包含），列出所有可能的网络调用点； - 或者帮助你构造一个隔离的运行步骤（虚拟环境／容器）来安全试用该脚本。
Review Dimensions
- Purpose & Capability
- note名称与描述（仓位管理与风控）与主脚本 scripts/position_calculator.py 的功能相符：计算盈亏、仓位占比并生成操作建议。_meta.json 也提到支持 AKShare 获取股价，与脚本中尝试导入 akshare 一致。唯一值得注意的是 SKILL.md 和资源表中提及了额外的脚本（scripts/trailing_stop.py、scripts/scaled_exit.py）及某些参考文件名（如 scaled-exit-patterns.md），但这些文件在清单中并不存在，表明包的文档与实际内容不一致。
- Instruction Scope
- noteSKILL.md 指示运行本地 Python 脚本（示例：python3 scripts/position_calculator.py --cost ...），并没有要求读取系统凭据或其它敏感路径。脚本本身进行本地计算并根据输入生成建议，未发现指示将数据发送到外部自定义端点。但脚本会尝试使用 akshare（若安装）以获取行情，这涉及网络访问来拉取市场数据；SKILL.md 没有明确说明何时或如何调用网络数据来源。
- Install Mechanism
- note技能为说明性 + 附带脚本，无安装说明（无 install spec）。这降低了隐蔽下载的风险，但脚本提示用户安装 akshare/pandas（pip），第三方包会从 PyPI 安装并可能包含网络行为。shebang 指向 /home/linuxbrew/.linuxbrew/bin/python3.10（非标准但非恶意），可能影响可移植性。没有发现下载自不明 URL 或压缩包提取的高风险安装步骤。
- Credentials
- ok清单中未请求任何环境变量或凭据（requires.env 空），脚本也未读取外部凭据或敏感配置。只有潜在的网络请求来自 akshare（用于获取行情），但这与技能目的相符且不涉及用户秘密。
- Persistence & Privilege
- okflags 中没有 always:true，也没有请求修改其他技能或系统配置的指示。默认的自主调用权限未见与其它可疑权限叠加的情况。技能不会强制常驻或提升权限。