Command Flow

让命令像说话一样自然——中文解释、安全分级、一键执行

Security Scan

总体上这个技能的功能、代码和说明在意图上是一致的（列出/搜索/显示斜杠命令、分类与安全分级、Telegram inline 支持），没有要求敏感凭据或向外部服务器发送数据，但存在若干实现级别的不一致与小错误，建议在生产环境使用前确认作者/修复这些问题并在受控环境中测试。

Purpose & Capability

技能名/描述（中文说明命令、分级、执行）与代码中的功能一致：展示命令、搜索、分页、导出、Telegram inline Keyboard 与安全确认逻辑都存在并符合描述。自动同步脚本（auto-add-commands.js / sync-commands.js）使用 local 'openclaw --help' 来收集系统命令，这与“列出本地 OpenClaw 命令”的目的相符. 有小不一致：SKILL.md 内嵌 metadata 声明需要 jq（bins: ["jq"]），但 registry 要求声明中显示没有必需二进制；代码里也没有明显使用 jq，表明文档/元数据可能未同步更新。

Instruction Scope

SKILL.md 明确表示“所有命令元数据本地存储、不开外部授权”，代码也没有看到远端 API 调用或外部网络上传逻辑。需要注意的是两个脚本（auto-add-commands.js、sync-commands.js）会在本地执行 shell 命令 execSync('openclaw --help') 来读取系统上的 OpenClaw 输出——这会读取本机状态 (已安装的 openclaw CLI) 并依赖本地可执行文件，属于与目的相关的行为但会执行子进程。另一个实现问题：commands.js 中某处 require('../skill-dashboard/dashboard.js') 指向的路径与仓库内实际文件位置（dashboard.js 在同一目录）不匹配，可能导致运行时错误；这是范围/实现不一致但不是恶意行为。总体上指令没有要求读取用户私有文件或环境变量以外的数据。

Install Mechanism

没有安装规范（instruction-only），代码文件随技能包一起提供。没有从不受信任的 URL 下载或提取外部归档的行为可见，这是较低风险的安装方式。但代码包含使用 child_process.execSync 的脚本（调用 openclaw --help），如果你在运行这些脚本时不信任来源，需谨慎。

Credentials

技能未声明需要任何敏感环境变量或凭据（注册表条目显示无必需 env）。代码会读取 process.env.TELEGRAM_PLATFORM（用于检测 Telegram 环境），这符合 Telegram 支持目的。没有看到要求 SECRET/TOKEN/PASSWORD 等不相干凭证，也没有指示将数据发送到外部端点。

Persistence & Privilege

技能没有设置 always: true，也没有修改其他技能或系统范围配置的代码路径可见。它不会强制永久注入代理或越权访问其他技能配置。

Assessment

简明建议： - 这个技能在目的上看起来一致：用中文列出/搜索/显示斜杠命令、做安全分级并支持一键交互。它不会请求云凭据或把数据发到外部服务器。 - 注意两点实现问题：① SKILL.md 中 metadata 提到需要 jq，但代码未明显使用 jq —— 这似乎是文档/元数据未同步；② commands.js 中对 dashboard 的 require 路径看起来错误（../skill-dashboard/dashboard.js），可能导致运行时报错。请在安装前向作者确认并请求修复。 - 安全提示：该包包含会在本地执行子进程的脚本（auto-add-commands.js、sync-commands.js 会运行 openclaw --help）。在受信任环境或沙箱中先测试这些脚本，不要在生产系统上盲目运行它们，尤其是如果技能来自未验证作者。 - 如需额外信心：要求作者说明为什么 metadata 提到 jq；请求修复 require 路径并提供 README 中的运行/权限说明；或在隔离环境中运行一次并查看行为。

✅ 已通过自我审核（v1.0.1）

---

name: command-flow version: 1.0.2 description: "让命令像说话一样自然——中文解释、安全分级、一键执行" metadata: { "openclaw": { "emoji": "🌊", "requires": { "bins": ["jq"] }, "triggers": ["斜杠命令", "所有命令", "/help", "/commands", "命令列表", "命令全览", "command flow", "//", "命令 1", "命令 2", "命令 3", "下一页", "上一页"], "priority": "critical" } }

🌊 Command Flow - 命令流

让命令像说话一样自然——中文解释、安全分级、一键执行

---

🎯 核心功能

• 📋 中文全览 - 所有命令带中文解释，不用记英文
• 🏷️ 来源分类 - OpenClaw 原生 / 我们开发的 / 第三方，一眼看清
• 🚦 安全分级 - 🟢 安全 / 🟡 危险 / 🔴 隐藏，风险一目了然
• ✅ 二次确认 - 危险操作强制确认，不怕误点
• 🔍 搜索命令 - 说"搜索 压缩"，快速找到相关命令

---

🚀 快速开始

查看所有命令

你说："斜杠命令"

Neo 显示：
┌─────────────────────────────────────────────────┐
│  📋 斜杠命令全览                         🔍     │
├─────────────────────────────────────────────────┤
│  🏷️ OpenClaw 原生技能                            │
│  🟢 /skills          查看已安装的技能列表        │
│     [执行] [详情]                               │
│                                                 │
│  🛠️ 我们开发的技能                               │
│  🟢 /compress        4D 向量压缩，节省 60% Token  │
│     [执行] [详情]                               │
│                                                 │
│  🧩 第三方技能                                    │
│  🟢 /notion          Notion 笔记管理             │
│     [执行] [详情]                               │
└─────────────────────────────────────────────────┘

搜索命令

你说："搜索 压缩"

Neo 显示：
找到 1 个相关命令：

🟢 /compress <文本>
   4D 向量压缩，节省 60-80% Token
   来源：🛠️ 我们开发的
   [执行] [详情]

查看隐藏命令

你说："查看隐藏命令"

Neo 显示：
⚠️ 高风险命令，请谨慎使用

🔴 /config delete
   删除配置文件（极高风险）
   ⚠️ 此操作可能导致系统崩溃
   [执行]（需二次确认）

---

🎯 触发词（随口一说就懂）

你想做什么	你说
查看所有命令	"斜杠命令"、"所有命令"、"/commands"
搜索命令	"搜索 压缩"、"找更新命令"
查看隐藏命令	"查看隐藏命令"

不用记 /skills、/search、/compress，说中文就懂。

---

📦 安装

clawhub install command-flow

---

⚠️ 安全与边界

三级安全分级

级别	标识	说明
🟢 安全	绿色	无风险，直接执行
🟡 危险	黄色	二次确认（如卸载技能）
🔴 隐藏	红色	默认不显示（如删除配置）

敏感操作二次确认

• 卸载技能 → "⚠️ 卸载不可逆，确定要继续吗？"
• 删除配置 → "⚠️ 此操作可能导致系统崩溃，确定吗？"

本地优先

• 所有命令元数据本地存储
• 无需外部授权，开箱即用

不过度承诺

• 第三方技能功能依赖技能本身
• 命令执行结果因环境而异

---

🫂 写在最后

我们设计这个技能，是因为我们知道：

你不是程序员，记不住 /skills、/search、/compress。

你也不想为了用个工具，先背 50 个命令。

所以我们做了这个——

让你说中文，就能用 OpenClaw。

不用学，不用记，随口一说就懂。

---

版本：1.0.1
许可证：MIT