Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
行程体检
v1.0.1行程体检员——验证已有行程方案，输出体检报告：价格/路线/时间/遗漏/风险诊断+优化建议。支持文字/截图/订单输入。当用户提到"帮我看看行程"、"检查行程"、"行程有没有问题"、"行程体检"、"行程诊断"、"行程优化"、"行程评估"、"这个安排合理吗"时使用。
⭐ 0· 65·0 current·0 all-time
byhello_hang@hello-ahang
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
high confidencePurpose & Capability
技能宣称做行程校验/优化并且仅调用搜索航班/酒店/POI 等能力；所需动作（查询价格、地点、时间冲突、生成报告和预订链接）与描述一致。没有请求与旅行无关的外部凭据或访问权。
Instruction Scope
SKILL.md 明确指示安装并在本地执行 CLI 命令、读取/写入本地用户画像文件 (~/.flyai/user-profile.md)、调用平台内存工具，并展示外部 jumpUrl 链接。读取本地用户画像与个性化有关但会访问用户磁盘；更重要的是文档建议使用 NODE_TLS_REJECT_UNAUTHORIZED=0 来绕过 SSL 验证，这会降低网络通信的安全性并可能导致中间人风险。
Install Mechanism
没有内置 install spec，但要求用户运行 npm install -g @fly-ai/flyai-cli@latest（来自 npmjs registry）。从功能角度这是合理，但全局 npm 安装会在本机写入可执行文件并可能需要提升权限；npm 包来自公共注册表，属于中等风险，需要在安装前审查包来源/代码。
Credentials
技能不要求任何声明的环境变量或第三方凭据（这是好的），但运行时指示会修改环境变量（设置 NODE_TLS_REJECT_UNAUTHORIZED=0）并读写用户主目录下的 ~/.flyai 文件。读取/写入用户画像文件合理但属于敏感本地数据访问；禁用 TLS 验证没有合理安全理由，应视为不成比例的风险。
Persistence & Privilege
技能不是 always:true，也不请求修改其他技能或全局 agent 配置。不过其运行建议会在系统上安装全局 CLI（npm -g），并建议创建 ~/.flyai 目录以保存偏好 — 这些都是持久化副作用，安装前用户应知情并选择隔离安装位置或容器环境。
What to consider before installing
这是一个以说明文档驱动的旅行“行程体检”技能，功能与说明基本一致，但请在安装/运行前注意：
- npm 全局安装：技能要求你运行 `npm install -g @fly-ai/flyai-cli@latest`。全局安装会在系统上写入可执行文件，可能需要 sudo 权限。若你不信任包，请先在受控环境（容器或虚拟机）中安装并审查包内容，或请求离线/manual 测试。
- 切勿随意禁用 TLS 验证：文档建议用 NODE_TLS_REJECT_UNAUTHORIZED=0 绕过 SSL 错误。这会使所有 Node 进程忽略证书验证，增加中间人攻击和凭据窃取风险。不要在生产或有敏感数据的环境下使用该做法；优先修复证书问题或让 CLI 使用正确受信任的证书链。
- 本地画像文件 (~/.flyai/user-profile.md)：技能会读取/写入该文件以保存偏好。确认你愿意存储个人偏好到该路径；如不愿可以拒绝写入或仅在会话中提供必要信息。
- jumpUrl 链接与预订跳转：技能会展示飞猪类的直达链接。这些是外部链接，点击前请确认目标域名和链接安全性。
- 建议缓解措施：在受控环境（临时容器、虚拟机或沙箱）中先安装并测试 CLI；在安装前查看 npm 包的源代码与维护者信息；不要使用 NODE_TLS_REJECT_UNAUTHORIZED=0，若出现证书错误请查明根因并修复；在保存个人资料前向用户明确询问并获得同意。
总体上，这个技能“看起来像”它所说的，但存在实现层面的安全/隐私风险，应在信任包来源并采取上面建议的安全措施后再使用。Like a lobster shell, security has layers — review code before you run it.
latestvk97cgtepk6r1res2evwddvq4h5845rj5
License
MIT-0
Free to use, modify, and redistribute. No attribution required.