Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Obsidian Inbox Pipeline
v1.0.1将任意来源（AI 资讯、经济雷达、旅游日报、RSS、文章）自动采集、 结构化写入 Obsidian inbox 的完整流水线。支持 Telegram / 飞书推送 和 cron 定时执行。一套配置，永久自动沉淀知识。
⭐ 0· 72·0 current·0 all-time
bysimo@hunanjsd
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
Skill 名称/描述（将外部信息采集并写入 Obsidian inbox，支持 Telegram/飞书/cron）与包含的脚本（capture.py, query.py, review.py, scripts/daily_pipeline.sh）在功能上匹配。但 registry metadata 声明“未要求环境变量/凭证”，与 SKILL.md 和代码中明确需要的 OBSIDIAN_VAULT_PATH、TELEGRAM_BOT_TOKEN、TELEGRAM_CHAT_ID、FEISHU_APP_ID/FEISHU_APP_SECRET 等不一致。缺少这类声明会降低可见性，应被视为不一致而非功能性错误。
Instruction Scope
SKILL.md 与脚本指引范围总体与描述一致（写入 vault、重建索引、搜索、生成报告、可选推送）。需要注意：scripts/daily_pipeline.sh 会尝试执行工作区外的其他 skill 脚本（SKILL_DIR/../${RADAR_TYPE}/main.py 或 format_push.py）并读取其输出，这等于在运行时执行任意来自同一工作区的代码；脚本也会与外部网络交互（Telegram 与飞书 API）。指令未要求读取用户 shell history 或系统凭据之外的文件，但会按提供的 vault 路径读写文件系统。
Install Mechanism
无安装 spec（instruction-only + 内含脚本文件）。没有远程下载或解压步骤，源码包含在 skill 包内 — 这降低了通过 install 阶段引入未知二进制的风险。
Credentials
代码和 SKILL.md 期望多个环境变量（OBSIDIAN_VAULT_PATH 必需；TELEGRAM_*、FEISHU_* 为可选但用于推送）。Registry metadata 列为“无所需环境变量”，这是不一致且具潜在危险性的遗漏。这些变量包含敏感凭证（bot token / app secret）；在不信任来源的情况下不应放入共享或版本控制的 .env。
Persistence & Privilege
Skill 没有设置 always:true，也不试图修改其他 skills 的配置或系统范围设置。唯一需要注意的行为是 daily_pipeline.sh 会 invoke（执行）其他 skill 的 main.py/format_push.py，如果这些文件存在则会被执行 — 这是功能上的集成点但扩大了执行面。
What to consider before installing
要点与建议：
- 代码功能与描述一致，但 registry metadata 没有列出实际需要的环境变量/凭证（OBSIDIAN_VAULT_PATH、TELEGRAM_*/FEISHU_*），这是一个可见性/治理问题。
- 在提供任何令牌/密钥前，手动审查 capture.py、daily_pipeline.sh、scripts 中的内联 Python 推送逻辑，确认推送目标（仅 Telegram / 飞书）与用途一致。
- daily_pipeline.sh 会尝试执行相对路径 ../<radar_type>/main.py 或 format_push.py；如果工作区内存在这类脚本，它们将被运行。只在你信任这些其他 skill 的情况下允许定时运行。否则先在隔离环境或使用 --dry-run 测试。
- 不要把凭证提交到版本控制；把 .env 加入 .gitignore（SKILL.md 已提醒）。优先通过临时/限定权限的 bot/app 凭证进行测试，避免使用长期高权限密钥。
- 首次运行时：以 dry-run 模式或在含测试 vault 的容器中运行，确认文件写入路径正确并监控网络请求（比如通过防火墙/代理或查看 /tmp 中的中间文件）。
- 若你依赖第三方 radar skills，一并审查这些 radar 的 main/format_push 实现，因为 pipeline 将执行它们并可能扩大信任边界。Like a lobster shell, security has layers — review code before you run it.
latestvk971zqry3xvgfkgwv7540s9hv183ar8b
License
MIT-0
Free to use, modify, and redistribute. No attribution required.