AI机票预订助手

要点和建议： - 功能一致性：脚本的功能（查询、下单、改期、退票）与描述相符，但实现细节有不一致之处，建议在真实个人信息或真是资金出现前谨慎使用。 - PII 泄露风险：脚本会将乘客姓名、手机号、证件号等通过 HTTP POST 发送到外部 API（这是预订功能必须的），同时部分脚本在控制台打印这些敏感字段。控制台输出可能被宿主系统日志、CI 或监控采集。建议在使用前审查并修改代码以避免打印完整证件号/手机号，或在受控环境中运行。 - 鉴权文件位置不一致：SKILL.md 指向 ~/.fbt_auth.json，但代码将 apiKey 存到系统临时目录（tempfile.gettempdir()，例如 /tmp/.fbt_auth.json）。如果你依赖位置来清理/保护凭据，请注意这一点并考虑改为更安全的位置（并设置严格文件权限）。 - 可替换的后端地址与 TLS 风险：common.py 支持通过环境变量 FBT_API_URL 覆写 API 地址（未在 manifest 中声明）。更重要的是，代码为网络请求创建了不验证证书的 SSL 上下文（ssl._create_unverified_context），这会使请求易受中间人攻击并可能导致凭据/PII 被窃取。建议在生产或使用真实 PII 前将其移除（使用默认证书验证），并只向受信任的 API 端点发送数据。 - 如果决定使用： - 在受控环境（隔离机器或临时账号/手机号）先进行测试。 - 修改代码以禁用打印敏感字段、启用证书验证、并将鉴权文件保存到受限权限的目录（如用户主目录且设为 600 权限）。 - 确认并信任默认 API 域名或通过 FBT_API_URL 将其替换为你认可的端点。 总体结论：此 skill 并不明显恶意，但存在若干实现/文档不一致与安全配置问题（尤其是 TLS 验证被禁用和 PII 在日志中明文打印），在向真实用户提供服务并上传真实个人信息前应修复这些问题或仅在受控环境中使用。