ai-redaction-beta

脱敏用户上传的文件，支持自定义脱敏指令，处理完成后返回查询链接，可查看处理进度和下载结果

Security Scan

技能声称做文件脱敏并需要一个 API key，但实现中会把该 API key 写入本地日志并把它附在返回的查询链接中（泄露风险），且注册元数据与 SKILL.md 在凭据要求上不一致，需谨慎处理。

Purpose & Capability

技能的功能描述（上传文件到远端脱敏服务并返回任务链接）与要求 node/npm 以及包含运行时代码一致——调用外部 API 以完成脱敏是合理的。但注册表元数据宣称“无需环境变量”，而 SKILL.md 明确要求并持久化 API key，存在不一致。

Instruction Scope

SKILL.md 指导用户提供并持久化 apiKey，并显示如何调用与查看结果；说明中还写明“不要回复 API Key”。然而，实际运行代码会把 apiKey 记录在日志（写到临时目录下的 openclaw-logs）并且在构造的 taskUrl 中以 query 参数形式包含 apiKey，从而导致凭据在多个位置被泄露（本地日志、任何持有 taskUrl 的第三方以及可能的浏览器/服务器日志）。这与‘不要暴露 API key’直接冲突。

Install Mechanism

没有外部下载或运行时安装脚本（是指令 + 已编译的 JS），仅要求 node/npm 在 PATH 中。没有可疑的远程安装源或 extract 步骤。

Credentials

请求的 API key 对调用外部脱敏服务是可以理解的，但使用方式不成比例：代码将 apiKey 打印/写入日志并把它作为 URL 参数返回，增加泄露面。且注册表与 SKILL.md 在是否需要 env/持久化凭据上不一致，表明权限声明不透明。默认的 API_BASE_URL / WEBSITE_URL 指向未知第三方域名（openapi4aitest.bestcoffer.com.cn、airedact_file_test.bestcoffer.com.cn），把敏感文件与凭据发送到不熟悉的外部服务具有显著隐私和安全风险。

Persistence & Privilege

技能会提示并要求持久化保存 API key 到 OpenClaw 配置（~/.openclaw/openclaw.json）。持久化本身可以理解，但结合代码将 apiKey 写入本地日志和将其附在共享的 taskUrl 中，这种持久化与日志/URL 泄露路径放大了长期风险。技能并未要求 always:true，也没有修改其他技能配置。

What to consider before installing

不要把真实、高权限或生产环境下的 API key 直接填写到此技能： - 主要风险：该实现会把 API key 写入本地日志并把它作为查询链接的 query 参数返回，容易泄露给第三方或被保存在日志/浏览器历史中。 - 建议措施： 1) 在信任前端点（openapi4aitest.bestcoffer.com.cn / airedact_file_test.bestcoffer.com.cn）和作者之前，不要使用真实凭据；用临时/只读/最低权限的 key 做测试，或不要提供 key。 2) 若必须使用，先审查/修改代码：移除日志中打印 apiKey 的行，且不要把 apiKey 作为 taskUrl 的 query 参数（改为服务端在任务页用会话或短期 token 进行认证）。 3) 检查并清理本地持久化配置与临时日志（~/.openclaw/openclaw.json 和 %TEMP%/.../openclaw-logs/），以防敏感信息残留。 4) 考虑将脱敏服务部署到你信任或自管的端点，或要求作者提供隐私/数据保留及安全保证。 - 其他不一致：注册表元数据显示“无需环境变量”，但 SKILL.md 要求并持久化 apiKey——这是不透明的声明，建议在安装前要求作者澄清并修正文档。

AI Redaction

智能脱敏工具，接收用户上传的文件和脱敏指令，自动处理后返回查询链接，可查看处理进度和下载结果。

功能

• 接收单个文件并识别文件类型
• 根据脱敏指令执行处理
• 返回查询链接，可查看处理进度和下载结果
• 支持多种文件格式

参数

参数	类型	必填	说明
file	string	是	待处理的文件路径或上传的文件
instruction	string	是	脱敏指令，如：涂黑身份证号、移除电话号码
apiKey	string	是	API 密钥，首次配置后自动持久化

使用方法

命令行调用

ai-redaction --file "document.pdf" --instruction "涂黑身份证号"

API 调用

const result = await aiRedaction({
  file: "document.pdf",
  instruction: "涂黑身份证号"
});
// 返回: { taskUrl: "https://...", taskId: "xxx", status: "已提交" }

配置

API key 会在首次使用时提示输入，配置后自动持久化保存。

查看配置

openclaw config get skills.ai-redaction.apiKey

修改配置

openclaw config set skills.ai-redaction.apiKey <your-new-api-key>

重置配置

openclaw config unset skills.ai-redaction.apiKey

配置文件位置：

• macOS/Linux: ~/.openclaw/openclaw.json
• Windows: %USERPROFILE%\.openclaw\openclaw.json

返回值

字段	类型	说明
taskUrl	string	查询链接，可在网页中查看处理进度和下载结果

常见脱敏指令示例

• 涂黑身份证号
• 移除电话号码
• 模糊人脸区域
• 隐藏银行卡号
• 删除邮箱地址

限制说明

• 仅支持单个文件处理
• 支持的文件格式：PDF、图片（PNG/JPG/JPEG）、Word、Excel、TXT
• 单文件大小限制：10MB
• 处理超时时间：5 分钟

回复模板

• 文件：test.txt
• 脱敏指令：涂黑身份证号
• 查询链接：https://...

打开查询链接可查看进度和下载结果。

⚠️ 强制规则

不要回复 API Key 、状态、日志。