Back to skill
Skillv1.0.3
ClawScan security
tc特价机票查询 · ClawHub's context-aware review of the artifact, metadata, and declared behavior.
Scanner verdict
BenignMar 12, 2026, 7:41 AM
- Verdict
- benign
- Confidence
- high
- Model
- gpt-5-mini
- Summary
- 代码、说明和所需资源与“同程特价机票查询与价格监控”这一目的基本一致，没有发现明显的隐蔽数据外传或要求不相干凭据的行为。
- Guidance
- 总体上此技能在用途和实现上自洽，但在安装与配置前请注意： - 在运行 install.py 或任何安装脚本前，先打开并确认脚本不会下载或执行不明远程二进制；若不放心，可只拷贝代码并手动安装必要 Python 包（requests、dateparser、beautifulsoup4 等）。 - 飞书Webhook 会接收查询与订阅信息：仅将 webhook 配置为你信任的群/机器人，避免填入不明第三方地址以防信息泄露。Webhook URL 存于 config.json（明文），请妥善保管该文件权限。 - 浏览器自动化模式需要额外依赖（Chrome/Chromedriver/Playwright），启用前评估其安装与权限要求；若不需要备用模式可不启用。 - 遵守目标网站（同程/ly.com）使用条款，避免设置过高的自动查询频率（SKILL.md 已建议限制间隔）；过于频繁的爬取可能导致封禁。 如果你希望我更深入评审 install.py、scripts 中未展示的剩余文件或寻找可能的隐蔽网络端点/硬编码Webhook，请上传这些文件内容，我会继续分析。
Review Dimensions
- Purpose & Capability
- ok技能名、描述和实现代码一致：自然语言解析、调用同程/ly.com 接口、保存订阅与价格历史、并通过飞书Webhook推送。所需的外部端点（wx.17u.cn、www.ly.com、飞书Webhook）与描述相符。没有请求与功能不相关的云凭据或系统访问。
- Instruction Scope
- okSKILL.md 指令限定在解析用户查询、调用第三方票务接口、写入本地订阅/历史/配置文件并发送飞书通知。代码读写的文件路径集中在技能目录（config.json、subscriptions.json、price_history.json、logs等），没有指示读取系统范围内的敏感配置或环境变量。唯一需注意的是：飞书Webhook由用户在配置中填写，技能会将查询/订阅结果发送到该Webhook（这属于期望行为）。
- Install Mechanism
- note这是指令+代码包的技能，没有远程下载或不明URL的install步骤，包内含 install.py 和 package.sh，一键安装被建议，但 SKILL.md/README 未在清单中公开 install.py 的具体操作（install.py 未在评审内容中展开）。建议在运行安装脚本前手动审阅 install.py 以确认不会修改系统范围设置或下载外部二进制。浏览器自动化模式会需要 ChromeDriver/Playwright 等额外依赖——仅在用户启用备用模式时才有关联风险/复杂性。
- Credentials
- ok技能不要求平台环境变量或外部凭据；唯一外部“秘密”是用户配置的飞书Webhook URL（保存在 config.json），这与推送通知功能直接对应。没有请求 AWS、数据库凭证或其他与功能不相关的敏感变量。
- Persistence & Privilege
- ok技能未设置 always:true，默认允许模型调用（平台默认）。技能会在本地保存订阅、历史和配置到文件（subscriptions.json、price_history.json、config.json），这是其正常功能所需且范围受限。没有修改其它技能或系统全局代理设置的指令。