Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
OC PR Review
v1.0.0PR 审查技能 — 完整的 Pull Request 审查流程，集成 GitHub CLI，支持安全分析、测试覆盖、性能评估、代码质量检查，并可推送飞书通知。Use when: (1) 审查 PR，(2) 检查 PR 安全性，(3) 分析测试覆盖，(4) 评估代码质量，(5) 生成审查报告。触发词：'review...
⭐ 0· 61·0 current·0 all-time
byNarain@penghang1223
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名与说明集中在 GitHub PR 审查，所需二进制 gh（GitHub CLI）和 SKILL.md 中大量 gh 命令调用与目的相符。但说明中期望能“推送飞书通知”，却没有在元数据或 requires.env 中声明任何飞书/通知凭据，这与所述能力有不完全对应。
Instruction Scope
SKILL.md 明确列出执行 gh pr view/diff、gh pr review、gh api 等命令来读取 PR、diff 并可在 PR 中提交评论/审批，全部在 PR 审查范围内。唯一的范围模糊是“发送飞书通知”部分：文档提到“使用 message 工具发送”或“发送到飞书群/个人”，但并未说明具体如何认证或使用哪个 webhook/token，会让自动化执行时出现未声明的外部凭据需求。
Install Mechanism
仅声明通过 Homebrew 安装 gh（公式名 gh），这是常见且与用途直接相关的安装方式，风险低。技能为 instruction-only（没有代码文件），因此没有远程下载或可执行脚本写入磁盘的高风险安装步骤。
Credentials
Registry metadata 列出“无需 env vars”，但运行说明显式要求 gh 已认证（gh auth status/login）且会调用 gh api 提交评论/审查 —— 在交互式场景下这依赖于本地 gh 登录状态或 GITHUB_TOKEN。更明显的矛盾是：SKILL.md 支持将报告发送到飞书，但未声明任何 FEISHU_TOKEN/WEBHOOK/APP_CREDENTIALS。未声明的通知凭据与技能功能不匹配，可能导致需要在运行时手动提供敏感凭据或连接到外部通知帐户。
Persistence & Privilege
技能没有设置 always:true，也没有要求修改其他技能或系统范围配置。作为 instruction-only skill，它不会在安装时写入持久化代码或自行储存凭据。自动调用 gh 的操作会使用现有 gh 凭据（本地），这是预期行为。
What to consider before installing
这个技能总体上看起来就是一组针对 GitHub PR 的审查步骤和模板，且只需要 GitHub CLI 来执行 PR 查询与评论，因此从一致性角度不是明显恶意。使用前请注意：
- 授权边界：技能会调用 gh 命令并可能执行 gh pr review（approve/request-changes）与 gh api 发评论；这意味着运行该技能的代理需要有可用的 GitHub 凭据（gh 已登录或 GITHUB_TOKEN）。确认你愿意授予这些操作权限，并在自动化场景中优先使用最小权限的令牌。
- 飞书通知：SKILL.md 支持把结果发到飞书，但没有声明需要的 webhook 或 token。若要启用通知，明确你将如何提供飞书凭据（例如通过受控 webhook）并确认消息目标（群/个人），避免把凭据贴在公开对话中。
- 审查侧影响：技能可以在 PR 上提交审批/请求变更，若不希望自动更改 PR 状态，请在运行前限定为“仅生成报告/仅评论”模式或手动复核生成内容再提交。
- 信誉与来源：技能来源未知、主页空白，虽然实现看起来合理，但若你将在敏感或生产仓库中使用，先在非生产仓库/测试账号上试运行以验证行为和消息投递路径。
建议：在安装并使用前，验证 gh 的认证方式（交互式登录 vs 环境变量），准备受控的飞书通知凭据（或禁用通知），并为自动化场景采用最小权限的 GitHub 令牌。Like a lobster shell, security has layers — review code before you run it.
latestvk977699qvx7b1e2x3yvrvf1can841pf1
License
MIT-0
Free to use, modify, and redistribute. No attribution required.
Runtime requirements
🔍 Clawdis
Binsgh
Install
Install GitHub CLI (brew)
Bins: gh
brew install gh