Back to skill
Skillv1.0.0
ClawScan security
每周安排助理 · ClawHub's context-aware review of the artifact, metadata, and declared behavior.
Scanner verdict
SuspiciousApr 8, 2026, 9:52 AM
- Verdict
- suspicious
- Confidence
- medium
- Model
- gpt-5-mini
- Summary
- 功能与请求总体一致且无外部通信，但存在实现/文档不一致（例如日期字段名不匹配）和对“自动触发”行为的模糊假设，建议在受控环境中审查和测试后再使用。
- Guidance
- 这项技能总体上看起来是为本地周/日报管理设计的、没有外部通信或凭据要求，但有几点你应在安装前注意并验证： - 核心实现/文档不一致：文档和命令使用的日期字段名是 'date'（或 --date），而计划结构中的字段名为 'assigned_date'，脚本内部的 update/change_date 路径会把值写入 'date' 而不是 'assigned_date'，可能导致查询、统计或导出结果不准确。请在生产环境使用前测试 add/update/change/delete/undo 等操作并确认数据一致性。 - 自动触发是假设而非实现：技能描述提到每天17:00 和 周日20:00 自动生成报告，但仓内没有调度器。若你需要自动化，请确保你的 agent/主机有合适的计划任务（cron、系统调度或平台的定时触发）来调用对应命令。 - 运行和数据位置：脚本在当前工作目录下创建 ./weekly-plans 并写入文件。确保 agent 运行目录安全，或在安装前修改路径以放到可靠/受限的位置；并定期备份重要数据。 - 代码审查建议：如果你依赖此技能，建议打开并检查脚本剩余（被截断部分）以确认没有未注意到的网络调用、外部命令执行或路径/权限问题；修复字段名不匹配（将 'date' 与 'assigned_date' 对齐）或更新文档以反映实际字段。 总体上没有发现网络外泄或凭据滥用的证据，但以上实现不一致足以影响功能，因此在可信隔离环境中测试并修正后再在关键工作流中使用。
Review Dimensions
- Purpose & Capability
- ok技能名与描述（每日报/周报整理）与包含的脚本和参考文件一致；所需依赖仅为 python-dateutil，数据仅保存在 ./weekly-plans，本质上与声明用途相符。
- Instruction Scope
- noteSKILL.md 指示通过本地脚本对本地 JSON 文件增删改查，未请求外部凭证或网络访问——这是合适的。但文档声称“工作日下午5:00/周日晚8:00自动触发”，实际仓内无调度器或守护进程，自动触发依赖于智能体（agent）按时调用；这是一个操作假设而非内置能力。此外，文档使用的字段名（例如 'date'）与脚本中计划项使用的 'assigned_date' 字段不完全一致，可能导致更新/调整日期功能不能按预期工作。
- Install Mechanism
- ok这是指令 + 本地 Python 脚本的组合，没有安装脚本或外部下载，风险较低。唯一依赖是 python-dateutil，属于合理的单一第三方库。
- Credentials
- ok技能不要求任何环境变量、凭据或配置路径，所有数据存储在相对路径 ./weekly-plans，表面上与其功能成比例。
- Persistence & Privilege
- ok没有设置 always:true，也未修改其他技能或系统配置。唯一的持久性是将 JSON 文件写入 ./weekly-plans（按文档说明），这与任务需求一致。