python 查询技能

查询客流数据，输出JSON，适合直接导入 Bitable 或其它数据可视化工具

Security Scan

技能本身看起来是在查询 SQL Server 并返回客流 JSON，但元数据未声明所需的凭据与运行时依赖，存在不一致与潜在数据泄露风险，请在提供数据库凭据前谨慎审查与测试。

Purpose & Capability

技能名称、描述、README 与 commands/query.py 一致：它通过 pyodbc 调用名为 openclaw_fetch_zwc_keliu 的存储过程并返回 JSON，目的与实现基本对齐。但注册表元数据没有列出任何必需的环境变量或凭据，这与 README 和脚本中明确要求的数据库凭据（MY_SQL_SERVER / MY_SQL_DATABASE / MY_SQL_USER / MY_SQL_PASSWORD）不一致。

Instruction Scope

SKILL.md 提供了日期参数和运行示例，README 提到必须在环境变量中设置连接信息，脚本会根据这些环境变量直接建立数据库连接并执行存储过程。指令没有要求读取其它系统路径或外部端点；范围基本与描述一致，但 SKILL.md 的运行示例未明确提醒用户必须设置凭据和安装依赖，容易导致误用。

Install Mechanism

技能为 instruction-only（无安装规范），但包含 Python 脚本依赖 pyodbc、pandas、dateutil，以及系统层面的 SQL Server ODBC 驱动（例如 Microsoft ODBC Driver for SQL Server）。未声明这些依赖或提示如何安全安装，运行时可能失败或导致用户随意安装不受信任的包/驱动。缺少依赖声明是工程性不一致且增加风险。

Credentials

注册表显示“无需环境变量”，但脚本确实从环境读取 MY_SQL_SERVER、MY_SQL_DATABASE、MY_SQL_USER、MY_SQL_PASSWORD（明文数据库凭据）。这是显著不一致：技能需要敏感凭据来完成其功能，但这些凭据没有在元数据中声明或被标注为必要。要求提供数据库凭据是合理的，但注册信息应明确且用户应被告知最小权限要求与风险。

Persistence & Privilege

技能没有 always:true，默认允许用户调用且不具备强制常驻权限。没有安装脚本或修改系统/其他技能配置的行为记录。

What to consider before installing

该技能确实是在查询 SQL Server 的存储过程并返回 JSON，这本身与描述一致，但存在关键的不一致与注意点： - 必须提供数据库凭据（MY_SQL_SERVER / MY_SQL_DATABASE / MY_SQL_USER / MY_SQL_PASSWORD），但注册表没有声明这些环境变量——在安装或运行前不要把生产管理员凭据直接放入环境。最好为此技能创建只读、受限的数据库账号并在受控网络内使用。 - 脚本依赖 pyodbc、pandas、python-dateutil 和系统级 ODBC 驱动。技能没有提供安装说明或来源，确保从可信来源安装这些依赖并在隔离环境中测试。 - 存储过程 openclaw_fetch_zwc_keliu 在数据库端执行，可能会访问或返回敏感数据：在允许技能访问之前，审查该存储过程的实现（或先在测试库/测试账号上运行），确认返回字段与预期一致。 - 因为脚本直接读取环境变量并向数据库发送查询，存在数据泄露风险：仅在受信任的环境中运行，并记录/监控网络访问。 如果开发者/发布方更新注册表以列出必需的环境变量、声明依赖（及如何安全安装），并提供对该存储过程的说明或测试数据库示例，我的判断可能会降低为“benign”。目前建议在受控测试环境中先验证行为并使用最小权限凭据。

技能:查询客流数据

用法（聊天框直接说）

-查询2026年4月1日到4月10日客流

例子

• 查询{start}到{end}客流
• 查{start}至{end}客流
• 获取{start}至{end}客流
• 拉取{start}到{end}客流数据 params: start: type: date help: 开始日期，例如 2026-04-01 end: type: date help: 结束日期，例如 2026-04-10

运行

cd C:\Users\Administrator\.openclaw\workspace\skills\python-ysddata-keliu\commands
python query.py --start 2026-04-01 --end 2026-04-10