酒店三选一
ReviewAudited by ClawScan on May 10, 2026.
Overview
酒店推荐功能本身基本匹配用途，但它要求安装/升级未固定版本的全局 CLI，并建议绕过 HTTPS 证书校验，安装前应人工审查。
如果要使用此技能，建议先确认你信任 FlyAI CLI；不要让代理自动执行 sudo 或安装 @latest，最好固定版本并手动安装。若出现证书错误，不要直接接受 TLS 绕过。也请检查是否愿意把旅行偏好保存到 Memory 或 `~/.flyai/user-profile.md`。
Findings (4)
Artifact-based informational review of SKILL.md, metadata, install specs, static scan signals, and capability signals. ClawScan does not execute the skill or run runtime probes.
用户机器会运行一个外部 npm 包的安装和后续 CLI 代码，且该代码版本可能随时间变化。
技能是 instruction-only 且无安装规格，却要求代理在使用前安装/升级未固定版本的全局 npm 包；未来的 @latest 包内容不在本次审查范围内。
在执行任何搜索之前，**必须先执行安装命令**（无论是否已安装，确保为最新版本）：`npm install -g @fly-ai/flyai-cli@latest --registry=https://registry.npmjs.org`
将安装方式声明到元数据/安装规格中，固定已审查版本；安装或升级前要求用户明确确认，并尽量避免全局安装。
如果用户按建议使用 sudo，外部安装包可能获得更高系统权限，影响本机环境。
在酒店选择技能中建议用 sudo 安装外部 @latest 包，会把安装脚本和全局文件修改提升到管理员权限。
权限不足 | 建议使用 `sudo npm install -g @fly-ai/flyai-cli@latest --registry=https://registry.npmjs.org` 或使用 nvm 管理 Node
优先使用 nvm、项目本地安装或受限容器；不要让代理自动使用 sudo，除非用户已审查包来源并明确同意。
酒店搜索条件、日期和偏好等请求可能更容易被中间人观察或篡改，搜索结果也可能不可信。
示例命令和异常处理都引导绕过 TLS 证书验证，这会削弱与服务端通信的身份校验和结果完整性。
`NODE_TLS_REJECT_UNAUTHORIZED=0 flyai search-hotel ...`；`SSL证书验证失败 | 使用 NODE_TLS_REJECT_UNAUTHORIZED=0 环境变量绕过`
不要默认禁用 TLS 校验；应修复证书/网络配置，仅在用户明确理解风险并临时授权时使用。
住宿预算、旅行偏好、同行人等信息可能长期保存，并影响之后的推荐结果。
技能会读取持久化旅行画像，并在发现新偏好时提示保存到 Memory 或本地文件；这与推荐目的相关，但涉及可跨会话复用的个人偏好数据。
启动时读取用户历史偏好... `search_memory(query="用户旅行画像", category="user_hobby", keywords="flyai")`；降级：`read_file(file_path="~/.flyai/user-profile.md")`
只保存愿意长期保留的偏好；定期查看或删除 `~/.flyai/user-profile.md` 或对应 Memory 记录。