Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
跨境电商图片生成工具
v2.6.0跨境电商图片生成工具。根据产品图生成各平台（Amazon / Shopee / TikTok Shop / Lazada / AliExpress / Temu / SHEIN）主图、详情页长图、生活场景图。内置6种视觉风格路由、6层合规审查（意图/品牌/版权/文化/平台/授权）。支持模型切换：nano-bana...
⭐ 1· 53·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名与说明描述的是图片生成并包含合规引擎；脚本和说明都使用外部服务 1xm.ai 并需要 API key — 这与功能是一致的。问题在于 registry 元数据声明“Required env vars: none”但 SKILL.md 和 scripts/generate_image.py 明确要求环境变量 1XM_API_KEY（并在脚本中使用）。元数据与实际需求不一致，降低透明度。
Instruction Scope
SKILL.md 指示将图片保存到 ~/.openclaw/workspace/... 并调用 scripts/generate_image.py。脚本会将 prompt 和参考图片（会被 base64 编码）发送到外部 API (https://1xm.ai/v1/chat/completions)。脚本也会回退读取本地文件 ~/.openclaw/workspace/image-gen-service/backend/.env 来寻找密钥。读取此特定 .env 路径和将用户图片/提示发送到外部服务是超出仅“本地生成”的行为，用户应注意数据会被上报到第三方。
Install Mechanism
无安装规范（instruction-only + 附带脚本），没有从不明 URL 下载或在安装时写入可执行文件到系统路径，因此安装风险较低。
Credentials
运行时确实需要 1XM_API_KEY（用于对 1xm.ai 的授权），这是与功能直接相关且合理。但该 requirement 未在 registry 元数据中声明（不透明）。此外脚本会读取 ~/.openclaw/.../.env 以尝试发现密钥（通过查找包含 API_KEY / IMAGE_API_KEY / 1XM 等的行），这意味着如果用户在该位置保存了其它密钥，它们可能被打开读取；虽然脚本只使用找到的 key 来调用 1xm.ai，但自动读取本地 .env 增加了意外访问敏感信息的风险。
Persistence & Privilege
技能没有 always:true，也不修改其它技能或系统设置。它会写入输出目录（~/.openclaw/workspace/.../outputs），这属于其业务范围并非跨技能权限请求。
What to consider before installing
简明建议：
- 注意到不一致：技能注册元数据未声明任何必需环境变量，但 SKILL.md 和脚本明确要求设置 1XM_API_KEY。安装前务必确认并不要将高权限或复用的密钥交给该技能。
- 数据外发：脚本会把 prompt 与（参考）图片以 base64 形式发送到 https://1xm.ai。若图片或提示包含敏感/尚未公开的产品信息、品牌机密、商标或模特肖像，上传到第三方会存在隐私/合规风险。仅在信任 1xm.ai 服务且确认上传内容可外发时使用。
- 本地 .env 读取：脚本会回退读取 ~/.openclaw/.../.env 查找密钥。不要在该路径放置其它敏感凭据，或在审计后决定是否允许该行为；最好把仅用于此技能的 API key 放在单独环境或临时变量中。
- 建议操作：
1) 在隔离环境或受控用户账户下先运行并观察网络流量与日志（确认目标域名与请求内容）。
2) 检查并审阅 scripts/generate_image.py 的完整代码（已部分显示），确认没有把本地文件/密钥上传到其他隐藏端点。
3) 若不信任 1xm.ai，可联系技能作者要求改为可配置的 endpoint，或替换为你方信任的生成后端。
4) 不要把通用/高权限凭据（如云提供商主密钥、支付密钥等）放入技能可能读取的 .env 或环境变量中。
总体：功能与行为大体一致（生成并合规检查、调用外部图像 API），但元数据不透明及自动读取本地 .env、外发图像/提示词构成值得在安装前确认的风险点。Like a lobster shell, security has layers — review code before you run it.
1xmvk979rjm8k9xt0da7r20ecw8npn846yzyamazonvk976g4yg29rwc538v6bh2c7w55846rdmchildren clothingvk976g4yg29rwc538v6bh2c7w55846rdmecommercevk976g4yg29rwc538v6bh2c7w55846rdmimage-generationvk976g4yg29rwc538v6bh2c7w55846rdmlatestvk972y302fm28z8yjezy69kmv65847bgcshopeevk976g4yg29rwc538v6bh2c7w55846rdmtiktokvk976g4yg29rwc538v6bh2c7w55846rdm
License
MIT-0
Free to use, modify, and redistribute. No attribution required.