携程问道 - AI Travel Assistant

您的全时 AI 旅伴，由携程官方倾力打造，已累计为超 5000 万用户提供解答。无论是预订机酒火车票、定制旅行攻略，还是寻找当地特色玩乐，只需一句话，问道为您轻松安排

Security Scan

该技能的声明、所需环境变量（WENDAO_API_KEY）与运行说明在整体上是一致的；主要风险来自于如何提供/处理 API key 和原样展示第三方返回内容。

Purpose & Capability

技能描述为携程问道的旅行助手，所需的二进制（curl、jq）和一个专用 API key (WENDAO_API_KEY) 与该用途一致，没有要求看起来与描述不符的权限或工具。

Instruction Scope

SKILL.md 明确说明如何用 curl/jq 构造请求并把结果写到 /tmp/wendao-result.md 并显示，指令只涉及 token 与用户查询，未要求读取不相关文件或额外凭据。但它允许用户在对话中直接提供 API key（作为备选），这会把敏感密钥暴露给会话历史与平台日志，存在泄露风险；此外默认“如实展示 API 返回的 Markdown”可能会将第三方链接或不安全内容直接呈现给最终用户，需过滤或审查。

Install Mechanism

无安装规范（instruction-only），不写入磁盘持久化代码，风险较低。所需工具都是常见命令行工具，未指定从不受信源下载代码。

Credentials

只要求单一 API 密钥 WENDAO_API_KEY，与服务用途相称。注意：SKILL.md 同时允许在对话中粘贴 key，这增加了凭据泄露的机会；推荐使用平台/环境变量的秘密存储而非对话粘贴。

Persistence & Privilege

技能未要求始终启用（always: false），也不修改其他技能或系统配置。运行时会在 /tmp 写入响应文件（/tmp/wendao-result.md），这是短期临时文件，但在多租户或不安全环境下应注意临时文件的访问权限。

Assessment

这看起来是一个与携程问道后端通信的说明性技能，整体自洽，但在安装/使用前请注意：1) 优先使用平台的秘密管理（将 WENDAO_API_KEY 放入环境或密钥存储），不要在聊天中粘贴完整密钥，因为对话/日志可能被记录或被其他人查看；2) 验证请求域名严格为官方域名（SKILL.md 建议的 https://wendao-skill-prod.ctrip.com 或官方页面提供的域名），不要改为未核实的 URL；3) 输出的 Markdown 可能包含外部链接或推广内容——在直接向终端用户展示前考虑过滤或摘要，避免自动点击或渲染不可信内容；4) 临时文件位于 /tmp，若运行环境是多租户或具有低隔离性，考虑改用受限目录或内存处理以避免意外泄露；5) 为最小权限原则申请与测试用 key（限制权限/配额、便于泄露后快速撤销），并监控使用量与计费。若可以，请请求额外文档或官方 SDK/接口说明以验证请求格式、域名与返回规范；若你希望更严格的审查（例如审阅平台如何记录会话、/tmp 权限情况或需要对 SKILL.md 做修改），提供这些细节将提升评估置信度。

问道旅行技能 (wendao_skill)

Setup

1. 获取 token（API key） — 打开 www.ctrip.com/wendao/openclaw，按页面指引申请并复制你的 API token（仅保存在本人可信环境，勿截图含完整密钥发到公开渠道）。
2. 提供 token（二选一）
   • 环境变量 WENDAO_API_KEY（推荐）：由用户或平台在 skill 运行环境中配置好该变量；skill 直接读取，不操作任何配置文件。
   • 对话中提供：用户在当前对话里直接给出 API key；skill 仅在本次调用中使用，不持久化、不写文件、不回显完整密钥。若环境变量已设置，优先使用环境变量。
3. 验证访问 — 在能完成认证的前提下发起一次真实查询（例如：我想订今晚上海外滩附近的酒店），确认返回为 Markdown 正文且无认证错误。

Security & trust (before production use)

• Endpoint：确认请求发往文档中的官方域名（https://wendao-skill-prod.ctrip.com），勿在未核实的情况下改用未知域名。
• Key scope / billing：向提供方确认 key 权限、计费与 QPS/配额，避免误用或超额。
• External content：响应来自携程问道服务，可能含链接、营销文案或结构化信息；按你方产品策略决定是否展示、是否需过滤或摘要，不要假定第三方正文永远无害或永远准确。
• Invocation：本技能适合旅行类意图；若平台支持限制自动调用频率或范围，可按合规要求配置。

使用方法

执行前，先确定 token（按优先级）：

1. 若 WENDAO_API_KEY 已设置，使用该环境变量值作为 token。
2. 否则，使用用户在本次对话中提供的 key 作为 token（仅用于本次调用，不持久化）。

通用查询

jq -n --arg token "$TOKEN" --arg query "$USER_QUERY" '{token: $token, query: $query}' | curl -s -X POST https://wendao-skill-prod.ctrip.com/skill/query -H "Content-Type: application/json" -d @- > /tmp/wendao-result.md
cat /tmp/wendao-result.md

参数说明

参数	必填	说明
token	是	API 认证令牌，取值见 Setup（勿写入日志）
query	是	用户的自然语言查询

适用场景

场景	示例查询
酒店预订	"预订北京三里屯附近的酒店" / "上海外滩五星级酒店，预算 800-1200 元"
航班搜索	"搜索明天从北京到上海的航班" / "去纽约的国际航班多少钱"
火车票查询	"查一下北京到上海的高铁票" / "明天成都到重庆的动车还有票吗"
景点推荐	"成都周边有什么好玩的景点" / "带孩子去迪士尼的推荐攻略"
行程规划	"我要去日本，帮我规划一个 7 天行程"

注意事项

• 默认将 API 返回的 Markdown 如实展示给用户
• 响应不完整或超时时，可重试或提示用户稍后再试；勿在日志中打印完整 token。