Security Scan
OpenClaw
Benign
high confidencePurpose & Capability
名称与描述（提取微信公众号文章）与代码和依赖一致：多个脚本使用 Playwright 渲染页面并提取标题、作者、正文和图片。没有请求与该用途不相关的云凭据或系统级权限。
Instruction Scope
SKILL.md 指示如何安装依赖并从技能工作区运行，允许的工具（Bash/Read/Write）与脚本行为相符。运行时会访问目标网页并在本地保存截图/HTML（/tmp 或 ~/.openclaw/workspace 路径），并不会把提取的数据悄悄发到未说明的外部端点。
Install Mechanism
技能是指令+代码包（无平台 install spec），要求通过 pip install -r requirements.txt 并运行 `playwright install chromium` ——这会从 Playwright 的发布渠道下载浏览器二进制。虽然不是高风险的任意 URL 下载，但安装 Playwright 会下载较大的浏览器二进制并需要网络。
Credentials
不要求任何环境变量或密钥（requires.env 为空）；代码也没有引用系统或其他技能的凭据。所需依赖（playwright, playwright-stealth, dnspython, bs4）与网页渲染/解析职责一致。
Persistence & Privilege
flags 中没有 always:true，也不会修改其他技能配置。脚本会写入截图/HTML 到 /tmp 或工作区路径，这与调试/输出目的相符。
Assessment
这项技能在用途与实现上是一致的——它使用 Playwright 渲染页面并抓取文章内容。注意几点：
- 安装会下载 Playwright 的浏览器二进制（需要网络与磁盘空间）；
- 存在一个“stealth”脚本，专门用于绕过反爬（可能违反目标站点的服务条款或触发法律/使用政策风险）；
- 技能声称有 SSRF 防护并实现了基于主机名和解析地址的检查，但没有绝对保证（不要把内部/私有网络地址或机密域名传入）；
- 脚本会在 /tmp 和 ~/.openclaw/workspace 等位置写入截图/HTML；如果你在意隐私或敏感环境，建议先在隔离的沙箱/测试环境中运行或彻底审核代码。Like a lobster shell, security has layers — review code before you run it.
latest
微信公众号阅读器
提取微信公众号文章内容，支持任意公众号文章链接的内容抓取。
使用方法
直接发送微信公众号文章链接即可：
功能
- 自动渲染 JavaScript 动态内容
- 提取标题、作者、公众号名称、发布时间、正文内容
- 输出干净的 Markdown 格式
- SSRF 防护：DNS 解析验证，防止访问内网地址
依赖
- Python 3.8+
- Playwright
- playwright-stealth（反爬增强，可选）
- dnspython（DNS 解析安全校验）
安装依赖：
cd ~/.openclaw/workspace/skills/weixin-reader
pip install -r requirements.txt
playwright install chromium
安全说明
SSRF 防护
- 禁止访问 localhost、127.0.0.1 等本地地址
- 禁止访问 10.x.x.x、172.16-31.x.x、192.168.x.x 等私有网段
- DNS 解析检查：验证域名解析后的 IP 不是内网地址（防止 DNS 重绑定攻击）
使用限制
- 仅支持提取公开文章内容
- 请遵守目标网站的服务条款
- 不建议用于高频批量抓取
文件说明
extract.py- 主提取脚本（推荐，标准模式）extract_stealth.py- 反爬增强模式（可选，使用 playwright-stealth，可能违反某些网站 ToS）extract_generic.py- 通用网页提取
更新日志
v1.1.0
- 结构化数据输出：返回 JSON 格式，包含 metadata、content、stats 三个部分
- 新增统计信息：字数、段落数、图片数、预估阅读时间
- 增强元数据：提取时间戳、文章描述、HTML 内容
- 图片信息丰富：返回图片 URL 和 alt 文本
v1.0.1
- 增强 SSRF 防护：添加 DNS 解析验证
- 补充完整依赖：playwright-stealth, dnspython
- 完善安全说明文档
Comments
Loading comments...