Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
多平台文章排版发布助手 (MPA)
v0.1.18将 Markdown 转换为数十种精美主题 HTML，并一键推送到微信公众号草稿箱（支持自动解析文内图片并生成封面）。用户提到“排版/主题/发布公众号/草稿/小红书/头条”时调用。
⭐ 1· 84·0 current·0 all-time
by史建忠@shijianzhong
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
high confidencePurpose & Capability
技能声明将 Markdown 转换并推送到微信公众号草稿箱，运行时全部通过名为 `mpa` 的外部 CLI 完成。功能目标与使用外部工具实现这一目的相符；不过清单没有声明任何需要的凭据（例如微信 AppID/Secret），而 SKILL.md 又要求在 TUI 中配置这些敏感信息，存在声明与实际需要不一致的情况。
Instruction Scope
SKILL.md 明确要求执行远程安装脚本（curl raw.githubusercontent... | sh），并让用户运行 `mpa` 来在交互式 TUI 中输入微信公众号 AppID/Secret 和 AI 绘图配置。指令将敏感凭据交由外部二进制处理（黑盒），且安装命令会直接在用户终端执行下载的脚本，范围超出纯文本排版预览的简单操作。
Install Mechanism
安装通过管道执行远程脚本 (curl ... | sh) —— 这是高风险的安装方式，因为它会无提示地执行来自第三方仓库的代码。虽然源码托管在 GitHub raw，但这仍是不受审查的远程代码执行，技能没有提供版本化发布、校验或替代的、更安全的安装途径。
Credentials
清单中未列出任何必需的环境变量或主要凭证，但说明文档要求用户在 TUI 中配置微信公众号 AppID/Secret 及其它服务（AI 绘图）配置。技能会处理并上传文章与图片素材，这需要对凭据和上传目标有直接访问权——未声明这些需要降低了透明度并增加了滥用风险。
Persistence & Privilege
技能没有设置 always:true，并且是 instruction-only（不会自动写入其他技能配置）。唯一的持久性来自安装外部 `mpa` 可执行文件和用户在该工具内保存的配置；这些行为是在用户终端由安装脚本和 TUI 控制，而非技能本身自动持久化或跨技能修改。
What to consider before installing
在安装/使用前请谨慎：
- 切勿直接在终端执行未审查的 curl | sh 命令。先用 curl -fsSL <url> -o install.sh 并手动检查 install.sh 内容，确认来源和行为（会写入哪些文件、是否上传数据、如何存储凭据）后再决定是否运行。
- 了解并验证仓库和维护者（repo 所有者、提交历史、release 机制）；如果没有正式 release 或签名，风险更高。
- 询问或确认 mpa 将如何存储和保护你的微信公众号 AppID/Secret（存放路径、是否加密、何处发送凭证、是否上传到第三方服务）。
- 考虑在隔离环境（虚拟机或容器）中先测试安装与发布流程，避免在主工作环境暴露长期凭据或敏感数据。
- 如果你不想把凭据交给黑盒工具，优先使用可审计的流程（手动通过微信公众平台或使用有信誉的官方 SDK 并自行审查代码）。
- 如果你希望我帮忙进一步评估，请提供（或让我检索）install.sh 的内容或 mpa 仓库的 release 页面，以便检查具体行为。Like a lobster shell, security has layers — review code before you run it.
latestvk97253vppanytj2yxjjrw7r4yd83nfq7
License
MIT-0
Free to use, modify, and redistribute. No attribution required.