ClawHub
Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

微信支付支付分接入skill

v1.0.0

微信支付分接入解决方案，覆盖创单/确认/完结/扣款/退款全链路，提供选型/示例代码/业务速查/质量评估/排障五大能力。Use when user mentions "微信支付分", "支付分", "信用分", "免押租借", "免押金", "先享后付", "先免模式", "先享模式", "需确认订单", "支付分...

⭐ 0· 25·0 current·0 all-time
by@zhangpeng319

Install

OpenClaw Prompt Flow

Install with OpenClaw

Best for remote or guided setup. Copy the exact prompt, then paste it into OpenClaw for zhangpeng319/wechatpay-payscore.

Previewing Install & Setup.
Prompt PreviewInstall & Setup
Install the skill "微信支付支付分接入skill" (zhangpeng319/wechatpay-payscore) from ClawHub.
Skill page: https://clawhub.ai/zhangpeng319/wechatpay-payscore
Keep the work scoped to this skill only.
After install, inspect the skill metadata and help me finish setup.
Use only the metadata you can verify from ClawHub; do not invent missing requirements.
Ask before making any broader environment changes.

Command Line

CLI Commands

Use the direct CLI path if you want to install manually and keep every step visible.

OpenClaw CLI

Bare skill slug

openclaw skills install wechatpay-payscore

ClawHub CLI

Package manager switcher

npx clawhub@latest install wechatpay-payscore
Security Scan
Capability signals
CryptoRequires walletCan make purchasesRequires sensitive credentials
These labels describe what authority the skill may exercise. They are separate from suspicious or malicious moderation verdicts.
VirusTotalVirusTotal
Benign
View report →
OpenClawOpenClaw
Benign
high confidence
✓
Purpose & Capability
The name/description (WeChat Pay 支付分接入) match the provided artifacts: product intro, integration guides, quality checklists, troubleshooting manuals and extensive Java/Go sample code. Required env/configs are not declared because this is a documentation/example-code skill; nothing requested is unrelated to the stated purpose.
✓
Instruction Scope
SKILL.md defines precise runtime rules: confirm merchant/service mode, only read existing example files (do not generate new official code), require explicit user consent before collecting information, and forbid writing files into the user's project. The instructions do not direct the agent to read system files, environment variables, or send data to external endpoints beyond showing included docs/examples.
✓
Install Mechanism
No install specification — instruction-only skill — so nothing is downloaded or written to disk. A large number of example source files are bundled, but they are static samples (no build/install steps).
ℹ
Credentials
The skill does not declare any required environment variables or credentials. The documentation and sample code necessarily discuss and show locations for sensitive items (APIv2/APIv3 keys, merchant API certs, PEM file paths) because real integration needs them. This is proportionate for a developer-facing integration guide, but the user should not paste private keys/certificates into chat; the skill will, per its rules, ask before requesting any sensitive data.
✓
Persistence & Privilege
Flags show no 'always: true' and no install/persistence steps. The skill does not attempt to modify other skills or system-wide configuration; it is user-invocable only and does not require autonomous permanent presence.
Assessment
This skill appears to be an integration guide + example-code bundle for WeChat Pay '支付分' and is coherent with that purpose. Before installing/using: 1) Do not share private keys, PEM files, or full API credentials in chat—share sanitized logs or example IDs instead. 2) Use the bundled Java/Go examples as references only; test any translated/generated code in a non-production environment and review signature/crypto logic carefully. 3) If the skill asks for sensitive runtime data to troubleshoot, require explicit, minimal, time-limited information and prefer redacted request/response headers (remove signatures, serials, private fields). 4) The skill forbids writing files to your project; if you need code files, copy them manually after review. If you want stricter guarantees, ask the skill how it would handle a troubleshooting scenario without receiving secrets (e.g., by guiding you how to collect and redact logs).
✗
references/1-商户/接入指南/签名与验签规则.md:115
Documentation appears to expose a hardcoded API secret or token.
✗
references/2-服务商/接入指南/签名与验签规则.md:115
Documentation appears to expose a hardcoded API secret or token.
Patterns worth reviewing
These patterns may indicate risky behavior. Check the VirusTotal and OpenClaw results above for context-aware analysis before installing.

Like a lobster shell, security has layers — review code before you run it.

latestvk971g5f6qzhqpznv0ad045g8vd85q4yw
25downloads
0stars
1versions
Updated 4h ago
v1.0.0
MIT-0
@zhangpeng319
latest
Download

微信支付分接入指引

全局交互规范

‼️ 以下规则适用于本技能所有能力、所有对话轮次，优先级高于各能力的局部规则。

  1. 所有问题必须得到用户明确回答后才能继续。 一次提出多个问题时，逐一检查是否都已获得明确答复，未答复的必须再次追问，严禁自行假设、推断或使用默认值。
  2. 接入模式前置确认：任何能力使用前须先确认 商户模式 或 服务商模式，已明确则无需重复。两种模式的核心差异（参数命名、API 路径前缀、签名工具类）见各角色 接入指南/签名与验签规则.md。
  3. 分步确认协议（简单知识问答除外）：
  • ① 明确需求：先理解问题给出初步判断，不要堆参数清单。
  • ② 征得同意：主动提出下一步能做什么，等用户明确同意后才继续。
  • ③ 收集信息：用户同意后再告知所需信息并逐项收集，收齐才执行。
  • ④ 执行前确认：操作前简要说明即将做什么，确认同意后再执行；线上环境额外提示风险。

能力概览

  1. 产品选型 — 了解微信支付分的功能定位、需确认订单子模式（先免 / 先享）、典型使用场景与接入前提
  2. 示例代码 — 创建 / 查询 / 取消 / 完结 / 修改金额 / 同步状态 / 退款 / 查退 / JSAPI / 小程序 / APP 拉起 / 三类回调 全套接口
  3. 业务知识速查 — 开发参数与业务规则（含 APIv2 密钥与服务 ID）、订单状态流转、risk_fund / 完结金额公式 / post_payments 等字段规范、签名验签、回调处理
  4. 接入质量评估 — 通用安全雷达 + 支付分专属雷达：金额合法性、订单状态防误调、回调与查单互补、APIv2 调起签名、风险金上限校验、（服务商）sub_mchid 路由防串单
  5. 问题排查 — 错误码 TOP 20 + 常见问题，覆盖 HTTP 错误 / 回调收不到 / 签名失败 / 退款异常 / 角色特有问题 / 业务规则 / 通用接入配置

路由说明：能力 1 用于产品概念性问题与接入前提确认，已明确接入支付分的可直接跳到能力 2/3。能力 2 与 3 可独立调用，但首次必须先完成"接入模式前置确认"。能力 5 命中错误码或常见问题后，必须在末尾推荐能力 4 做一次性自查。

能力1：产品选型

用户问「这个产品是什么 / 能做什么 / 适合什么场景 / 接入需要什么前提 / 先免还是先享」时 → 加载产品介绍文档作答。已明确接入支付分的可直接跳到能力 2/3。

能力2：示例代码

用户要某个接口的示例代码时 → 确认接入模式和语言，加载对应模式的 接口索引.md 定位代码文件。

‼️ 只检索、不生成。 严禁从零编写任何代码，必须从示例代码文件中检索获取。

‼️ 只展示、不写入。 示例代码仅用于讲解 API 调用结构和签名流程，严禁直接写入用户项目（禁止调用 write_to_file、replace_in_file 等工具创建或修改项目文件），让用户自行复制适配。

‼️ 先交互、后输出。 提供代码前必须先确认接入模式、开发语言和具体接口，每次只输出一个接口；提供完代码后主动推荐接入质量评估。

‼️ 用户语言非 Java/Go 时（本 skill 仅维护 Java/Go 示例）：禁止直接生成跨语言代码。流程：

  1. 用 AskQuestion 获明确同意（文案需明示「参考实现 / 非官方维护 / 须自行 review 与测试」），未同意只发官方 Java/Go 原文。

  2. 同意后以官方 Java 示例为基准翻译生成业务代码「参考实现」；再用纯文字问是否翻 Java 公库（SDK 工具类 + HTTP 客户端），未明确要不贴。每段代码前附下方免责块。

⚠️ 以下代码为跨语言参考实现，由 AI 参考官方 Java 示例翻译生成，并非微信支付官方维护。

  • 请逐行 review 签名构造、HTTP 调用、字段命名、回调解密等关键逻辑。
  • 上线前必须在测试环境完整验证，建议先以官方 Java/Go 示例打通主链路作为对照。
  • 出现接入问题时以官方 Java/Go 示例为准。

‼️ 拉起端类型确认规则：「拉起确认订单页」「拉起订单详情页」必须先确认拉起端类型（JSAPI 公众号 / 小程序 / APP Android / APP iOS / APP 鸿蒙），不同端的报文与签名规则不同；其余通用接口（创建 / 查询 / 取消 / 完结 / 修改金额 / 同步状态 / 退款 / 查退 / 三类回调）无需询问拉起端。

加载策略：先确认接入模式，读对应的 接口索引.md 定位接口文件路径，再按需加载具体文件。不要一次性加载所有文件。

能力3：业务知识速查

用户问开发参数与业务规则（mchid / sub_mchid / appid / sub_appid / APIv3 密钥 / APIv2 密钥 / 商户 API 证书 / 微信支付公钥 / 服务 ID）、订单状态、risk_fund / 完结金额公式 / post_payments 字段、签名规则、回调机制等业务知识时 → 按接入模式加载对应文档。

能力4：接入质量评估

用户准备上线或想检查代码隐患时 → 加载以下文档。

‼️ 只检查用户实际使用的功能模块。 分账、APP 拉起、小程序拉起 等模块须先确认用户是否涉及，未使用的不检查、不提及。

能力5：问题排查

‼️ 唯一入口：用户报告任何问题（报错 / 接口异常 / 回调收不到 / 签名失败 / 对账差异 / 业务规则疑问等），都先按接入模式加载下方排障手册，严格按手册内「排障流程」执行，禁止自行猜测原因或直接分析代码。

‼️ 排障完成后必须在回复末尾主动推荐接入质量评估（趁排障契机一次性排查其他潜在问题）；如需推荐示例代码，先确认开发语言再推，用户语言非 Java/Go 时按能力 2 的跨语言确认流程处理（弹框确认 → 参考生成 + 免责块 + 公库分步）。

以下信息与技能能力无关，仅供查阅。

💬 社区与反馈

在使用过程中遇到问题、有改进建议，或者想和其他开发者交流接入经验，欢迎扫码添加企业微信进群，与官方团队和社区开发者一起讨论：

微信支付 Skills 交流群二维码

Comments

Loading comments...