Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

easytravelwithchild

v1.0.0

帮助带娃家长在周末或假期规划亲子出行方案,包括:筛选提供高质量免费儿童游乐场的酒店、对比同类酒店、根据孩子性别/性格/年龄推荐适合的游玩场地、判断是否需要家长全程陪伴,并提供目的地周边可选方案。当用户提到带孩子出行、亲子酒店、儿童游乐、周末遛娃等场景时使用。

1· 80·0 current·0 all-time

Install

OpenClaw Prompt Flow

Install with OpenClaw

Best for remote or guided setup. Copy the exact prompt, then paste it into OpenClaw for dutxueyu/easytravelwithchild.

Previewing Install & Setup.
Prompt PreviewInstall & Setup
Install the skill "easytravelwithchild" (dutxueyu/easytravelwithchild) from ClawHub.
Skill page: https://clawhub.ai/dutxueyu/easytravelwithchild
Keep the work scoped to this skill only.
After install, inspect the skill metadata and help me finish setup.
Use only the metadata you can verify from ClawHub; do not invent missing requirements.
Ask before making any broader environment changes.

Command Line

CLI Commands

Use the direct CLI path if you want to install manually and keep every step visible.

OpenClaw CLI

Bare skill slug

openclaw skills install easytravelwithchild

ClawHub CLI

Package manager switcher

npx clawhub@latest install easytravelwithchild
Security Scan
VirusTotalVirusTotal
Suspicious
View report →
OpenClawOpenClaw
Suspicious
medium confidence
Purpose & Capability
技能主旨(为带娃家庭检索亲子酒店/套餐并给出方案)与其脚本行为基本一致:脚本通过 flyai-cli 查询飞猪实时数据并解析返回结果。问题在于 manifest/registry metadata 声称“无需二进制/环境变量/凭证”,但 README 和脚本明确依赖 flyai-cli(以及运行时需要 bash/python),这是一个不一致点 —— 合理用途会需要这些依赖,但它们没有在技能元数据中声明。
Instruction Scope
SKILL.md 明确要求先运行包含查询的脚本以获取实时数据并以这些数据产出推荐,脚本仅调用 flyai CLI、处理 JSON 并输出结果,没有看到要求读取用户主目录、凭证文件或其它与功能无关的系统路径。SKILL.md 强制“不得跳过脚本”有助于数据准确性,但不应被视为恶意指令。
!
Install Mechanism
技能包本身没有 install spec(instruction-only / scripts),但 README 建议通过 npx/ali-skills 安装并全局安装 @fly-ai/flyai-cli(npm)。这种外部工具安装依赖未在技能元数据中声明,且 flyai-cli 是来自第三方 npm 包(需要信任)。因为没有集中安装说明或已验证的发布来源,安装 flyai-cli 有中等风险,建议在受控环境/沙箱中进行,并验证 flyai-cli 的来源与发布仓库。
!
Credentials
技能未在 metadata 中声明需要任何环境变量或主凭证,但其运行时依赖 flyai-cli 来访问飞猪数据,通常此类 CLI 需要配置 API key / 登录凭证(未在技能中列明)。这是不一致且值得注意的:用户可能需要在本地为 flyai-cli 提供凭证(或浏览器登录),而技能清单没有把这些凭证作为必需项告知。
Persistence & Privilege
技能没有设置 always:true,也不请求修改其他技能或系统配置。它仅包含可执行脚本并在运行时调用外部 CLI;在权限/持久性方面没有超出合理范围的请求。
Scan Findings in Context
[unicode-control-chars] unexpected: SKILL.md / 文件中检测到 unicode 控制字符(例如可见/不可见的 bidi/control chars)。这类字符有时用于格式化/对齐,但也可能用来隐藏或混淆文本(比如在审查或自动化扫描时改变可见内容)。就本技能而言,并没有发现明显的恶意指令,但建议审查原始文件的不可见字符,确保没有被注入或篡改。
What to consider before installing
要点与建议(面向非技术用户): 1) 目的性:技能看起来确实是为“带娃出行找亲子酒店/套餐”设计,使用飞猪实时数据并给出结构化推荐,这与描述一致。 2) 关键不一致:技能包没有在元数据里声明任何运行时依赖或凭证,但 README 和脚本要求安装并使用第三方 CLI(flyai-cli)来访问飞猪数据。也就是说,你需要在自己的环境中安装并配置额外工具/凭证,技能本身没有把这些需求显式列出。 3) 提示注重点:SKILL.md 中被检测到 unicode 控制字符(可能是无害的排版字符,也可能用于隐藏或混淆),建议在安装/使用前打开原始文件查看不可见字符或让开发者说明这些字符的用途。 4) 操作建议: - 在可信的受控环境(例如本地机器的容器或受限制的测试账号)中先试运行脚本,不要在包含敏感凭证的生产环境运行。 - 在安装 flyai-cli 前,核实该 npm 包的发布仓库、维护者与评分(确认不是垃圾/恶意包)。 - 查清 flyai-cli 是否需要 API key / 登录;如果需要,确认凭证只配置在你信任的账户/环境中,并理解该 CLI 会向哪些远程服务发出请求(通常是飞猪/Fliggy)。 - 要求技能作者在技能元数据中明确列出必需的二进制(bash/python3/flyai)、安装步骤与所需的环境变量/凭证说明,避免“隐含依赖”。 - 若对不可见字符或来源存疑,可要求作者提供技能的公开源码仓库或主页并验证其来源。 5) 若你希望我进一步帮助:我可以(A)检查 flyai-cli 的 NPM 仓库/源码以评估风险;(B)帮你审查 SKILL.md 的原始字节流以显示并解释不可见字符;或(C)提供一个安全的测试步骤清单以在隔离环境中运行这些脚本。

Like a lobster shell, security has layers — review code before you run it.

latestvk9779jjv390xa9c9s0rsbv09xd840qag
80downloads
1stars
1versions
Updated 3w ago
v1.0.0
MIT-0

Easy Travel with Child — 亲子出行规划助手

帮助家长在周末或假期找到「大人能休息、孩子能玩嗨」的最优方案。每次规划需依次完成以下模块,缺少信息时主动向用户提问。

When to Use

  • 用户提到带娃/遛娃/亲子游/周末出行
  • 用户询问哪些酒店有儿童游乐场
  • 用户想比较多个亲子酒店
  • 用户想找适合特定年龄/性格孩子的游玩场地
  • 用户关心游玩时是否需要全程陪伴孩子

Steps

Step 1:收集孩子信息

首先询问并记录以下信息(若用户已提供则跳过):

维度选项
性别男孩 / 女孩
年龄段3–5 岁 / 5–8 岁 / 8 岁以上
性格类型运动活跃型 / 文静安静型 / 探索好奇型
家长陪伴意愿希望孩子独立玩(家长可以休息) / 愿意全程陪伴

Step 2:实时检索酒店数据

必须先执行脚本获取真实数据,再进行分析,禁止跳过直接输出推测内容。

2a. 搜索亲子酒店

bash scripts/search-hotel.sh -c <目的地城市> -s 4,5
# 可选参数:
#   -k "关键词"        例:-k "儿童游乐场 亲子"
#   -i <入住日期>      例:-i 2026-05-01
#   -o <退房日期>      例:-o 2026-05-03
#   -p <最高价格>      例:-p 1500

2b. 搜索度假套餐(含门票)

bash scripts/search-package.sh -q "<城市>亲子酒店套餐 含儿童门票"
# 套餐搜索示例:
#   bash scripts/search-package.sh -q "上海迪士尼亲子套票 2大1小"
#   bash scripts/search-package.sh -q "北京亲子度假套餐 含早餐"

2c. 解析脚本结果,对每家酒店评估以下维度:

评估项说明
是否免费必须明确标注免费/收费/凭房卡免费
游乐场质量设施新旧、面积大小、主题丰富度
适合年龄标注适合年龄段,与孩子匹配度
开放时间是否覆盖用户出行时段
是否需要家长全程陪同⚠️ 重要:明确标注,影响家长休息质量
安全员/工作人员是否有专职人员看护

⚠️ 关键提示:「是否需要家长全程陪伴」必须在推荐中显著标注。若酒店要求家长陪同但用户希望休息,需主动提醒并建议其他选项。

Step 3:酒店横向对比

基于 Step 2 脚本返回的真实数据生成对比表格,数据来源标注「飞猪实时数据」:

| 对比项 | 酒店A | 酒店B | 酒店C |
|--------|-------|-------|-------|
| 价格/晚(实时) | 脚本返回价格 | | |
| 儿童游乐场(免费) | ✅/❌ | | |
| 是否需家长陪同 | 需要/不需要 | | |
| 适合年龄 | | | |
| 适合性格类型 | | | |
| 周边游玩资源 | | | |
| 综合推荐指数 | ⭐⭐⭐⭐ | | |

对比结束后给出 1–2 句综合推荐意见。

Step 4:周边景点门票检索 + 游玩场地推荐

4a. 先检索周边景点门票套餐

bash scripts/search-package.sh -q "<城市>儿童门票 亲子 <年龄段>"
# 示例:
#   bash scripts/search-package.sh -q "上海科技馆儿童门票 5-8岁"
#   bash scripts/search-package.sh -q "上海蒲贵乐园门票 家庭"

4b. 根据孩子画像 + 脚本数据推荐周边游玩场地,每个场地标注:

  • 适合性别:男孩 / 女孩 / 通用
  • 适合年龄:3–5 岁 / 5–8 岁 / 8 岁以上
  • 适合性格:运动活跃型 / 文静安静型 / 探索好奇型
  • 是否需要家长全程陪伴:需要 / 不需要 / 建议陪伴
  • 预计游玩时长:X 小时
  • 费用:脚本返回价格 / 免费

性格类型场地参考方向:

性格类型推荐场地类型
运动活跃型室内攀岩、蹦床乐园、水上乐园、儿童运动馆
文静安静型绘本馆、艺术手工坊、自然博物馆、亲子图书馆
探索好奇型科技馆、自然农场、儿童职业体验馆、地质公园

Step 5:周边方案整合输出

所有酒店/门票信息必须来自 Step 2/4 的脚本真实数据,以「出行方案卡片」格式输出:

🏨 推荐酒店:XXX(来源:飞猪实时数据)
   └ 儿童乐园:免费 | 无需家长全程陪同 ✅ | 适合 5-8 岁
   └ 酒店价格:¥XXX/晚(实时)| 预订:[)点击飞猪预订]

🏷️ 可选套餐(来源:飞猪实时数据)
   - [XXX酒店+迪士尼门票套餐] ¥XXX/无 | [点击预订]

🎯 Day 1 游玩建议
   上午:[场地名] — 适合探索型男孩,5-8岁,家长可在旁休息
          门票:¥XX/人(实时)| [点击购票]
   下午:[场地名] — 亲子互动,建议家长陪同

🎯 Day 2 游玩建议
   ...

💡 小贴士:[针对孩子年龄/性格的个性化提醒]
📌 数据来源:飞猪实时数据,价格仅供参考,以实际为准

Notes

  • 数据優先级:酒店和门票信息必须来自脚本真实检索,禁止自行添加未经验证的酒店名称
  • 若脚本返回空数据,需明确告知用户并建议手动搜索
  • 若无法确认某酒店游乐场是否需要家长陪同,必须告知用户「建议致电酒店确认」
  • 推荐场地优先选择距离酒店 30 分钟车程以内的
  • 若用户未提供目的地城市,先询问城市再执行脚本
  • 所有价格标注「飞猪实时数据,价格仅供参考,以实际为准」

Comments

Loading comments...