Payment Skill Demo

AI 原生支付解决方案 - 提供安全、可靠的支付功能

Security Scan

代码和文档总体与支付功能匹配，但包内存在不一致与打包/引用错误，并且会把您的 API 凭证发送到一个第三方主机（api.zlclaw.com），在信任该主机前不建议将真实凭证用于生产环境。

Purpose & Capability

技能名/描述、工具定义和代码一致地实现了创建支付、查询与退款功能；所需环境变量（PAYMENT_API_KEY、PAYMENT_API_SECRET）与支付 API 客户端用途相符。但存在包不一致：src/__init__.py 引用了不存在的模块 (skill_entry)，src/payment_skill.yaml 将 PAYMENT_API_URL 标记为必需而 SKILL.md 与其他地方把它视为可选（有默认值）。此外仓库来源与主页未知，需确认服务提供方可信度。

Instruction Scope

SKILL.md 指示仅做安装（scripts/setup.sh）、设置环境变量并通过 skill_cli.py 调用工具；运行时指令只针对支付操作和自检诊断。文档与代码中没有指示读取或传输与支付无关的主机凭证或系统文件。诊断脚本会尝试显示/检查环境变量（会遮掩部分字符），但不会直接将凭证汇报到外部。

Install Mechanism

没有 registry install spec（指令型/源码包），但仓库包含 scripts/setup.sh，会在本地创建 venv 并通过 pip 安装 pinned 依赖（requirements.txt / requirements-py36.txt）。依赖来自公开 PyPI，未见使用不可信下载 URL 或压缩包提取。总体风险为常见的 Python 包安装风险（供应链/依赖审查必要），但没有明显高风险的远端安装步骤。

Credentials

请求的环境变量数量和类型与支付功能相称（API key/secret，备用的加密密钥与日志配置）。值得注意：默认 API URL 为 https://api.zlclaw.com — API 密钥/签名会被发送到该主机；在安装前应确认该域名和维护者可信。ConfigLoader 还会尝试从 config/*.env 读取敏感值（提示不要在文件中硬编码），并且程序会将日志写入本地 logs/skill.log，需确认不会在日志中泄露完整密钥（当前代码未强制掩码日志）。

Persistence & Privilege

技能未设置 always: true，也没有声明修改其他技能或系统配置的行为。脚本会在项目目录创建 venv 与 logs 目录（正常行为），没有要求系统级持久化或高权限访问。

What to consider before installing

要点与建议： 1) 包一致性问题：src/__init__.py 引用了不存在的模块 (skill_entry)，且部分 YAML/文档对 PAYMENT_API_URL 的必需性有不一致，说明打包或发布可能不完整——在生产使用前先在隔离环境运行并修复导入错误。 2) 验证远端：默认 API 主机为 https://api.zlclaw.com。该技能会把您的 PAYMENT_API_KEY 和 PAYMENT_API_SECRET 发往该主机（通过签名的 HTTP 请求）。在提供真实凭证前，请确认您信任该域名与维护方（联系 [e-mail] 或检查代码库来源和项目主页）；如果不可验证，请使用测试凭证或本地模拟服务器进行测试。 3) 凭证与日志：确保在部署时使用环境变量注入凭证（不要把密钥写入 repo 或 config 文件）。检查 logs/skill.log 及任何审计日志，确认密钥不会被原样记录；如有需要，在关键代码处开启或实现掩码（mask_sensitive_data 已存在但未在日志处强制使用）。 4) 依赖与供应链：setup.sh 会通过 pip 安装固定依赖版本。审查 requirements*.txt 中的包与版本（尤其加密库 Crypto/pycryptodome 与 cryptography），并在可能时使用内部镜像或做依赖扫描（safety、bandit 等）。 5) 测试与审计：在允许该技能联网前，用非生产 API_KEY/SECRET 在隔离环境中运行 create_payment/query_payment/refund_payment 流程，观察请求目标与响应行为；修正任何导入错误或缺失文件（例如 skill_entry）后再考虑生产部署。 6) 若您缺乏对该第三方的信任或无法验证代码来源，优先不要在含真实资金或凭证的环境中启用此技能。

支付 Skill

AI 原生支付解决方案，提供安全、可靠的支付功能。

工具调用方式

AI 通过执行 skill_cli.py 脚本来调用工具：

python skill_cli.py <tool_name> --param1=value1 --param2=value2

示例：

# 创建支付
python skill_cli.py create_payment --amount=299.00 --currency=CNY --merchant_id=taobao_001 --description="购买商品"

# 查询支付
python skill_cli.py query_payment --transaction_id=txn_001

# 发起退款
python skill_cli.py refund_payment --transaction_id=txn_001 --amount=100.00 --reason="质量问题"

返回格式：所有工具都返回 JSON 格式的结果

{
  "success": true,
  "data": { ... }
}

快速开始

1. 安装依赖

# Linux/macOS
./scripts/setup.sh

# Windows
scripts\setup.bat

2. 配置环境变量

必需：

export PAYMENT_API_KEY=your_api_key
export PAYMENT_API_SECRET=your_api_secret

3. 使用示例

# 创建支付
python skill_cli.py create_payment --amount=299.00 --currency=CNY --merchant_id=taobao_001

# 查询支付
python skill_cli.py query_payment --transaction_id=txn_001

# 发起退款
python skill_cli.py refund_payment --transaction_id=txn_001 --amount=100.00

核心功能

• create_payment: 创建支付请求
• query_payment: 查询支付状态
• refund_payment: 发起退款

安全特性

• TLS 加密通信
• HMAC-SHA256 签名
• 参数验证
• 审计日志

技术要求

• Python 3.6+
• 网络访问权限
• 环境变量配置

支持

• 📧 技术支持: [e-mail]
• 🐛 问题报告: https://github.com/zlclaw/payment-skill-demo/issues

---

版本: 1.0.3 | 许可证: MIT