Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

我的技能

v1.0.1

玄关(工作协同)开放平台 API 使用指南。当开发人员询问玄关开放平台提供了哪些 API、如何调用、接口参数说明、代码示例时使用此 Skill。涵盖用户服务、文件服务、工作汇报服务、BP目标管理服务、知识库服务等模块。

0· 90·0 current·0 all-time

Install

OpenClaw Prompt Flow

Install with OpenClaw

Best for remote or guided setup. Copy the exact prompt, then paste it into OpenClaw for spzwin/my-skil-song-s.

Previewing Install & Setup.
Prompt PreviewInstall & Setup
Install the skill "我的技能" (spzwin/my-skil-song-s) from ClawHub.
Skill page: https://clawhub.ai/spzwin/my-skil-song-s
Keep the work scoped to this skill only.
After install, inspect the skill metadata and help me finish setup.
Use only the metadata you can verify from ClawHub; do not invent missing requirements.
Ask before making any broader environment changes.

Command Line

CLI Commands

Use the direct CLI path if you want to install manually and keep every step visible.

OpenClaw CLI

Bare skill slug

openclaw skills install my-skil-song-s

ClawHub CLI

Package manager switcher

npx clawhub@latest install my-skil-song-s
Security Scan
VirusTotalVirusTotal
Benign
View report →
OpenClawOpenClaw
Suspicious
high confidence
!
Purpose & Capability
Skill 名称与描述表明这是一个针对“玄关开放平台”API 的使用指南,包含接口说明与示例,内容与目的匹配。不过 registry 元数据列出“Required env vars: none”,而 SKILL.md 与示例代码明确要求从环境变量 XG_BIZ_API_KEY 获取 appKey,元数据与运行指令不一致,表明发布者未声明必要的凭据需求或元数据被遗漏。
!
Instruction Scope
SKILL.md 指示在请求 Header 中使用 appKey(从环境变量 XG_BIZ_API_KEY 读取),并包含对外部域名 https://cwork-api.mediportal.com.cn 的 HTTP 调用示例。这些调用与文档目的相符,但说明性文档要求读取未在元数据声明的环境变量,且示例显示文件上传/下载操作(访问/写入本地文件)——这些动作是 API 用例的一部分但应被明确列出为所需权限/环境项。
Install Mechanism
这是纯说明性(instruction-only)Skill,没有安装脚本或下载行为,不会在安装时写入磁盘或拉取可执行代码,安装风险低。
!
Credentials
Skill 运行依赖一个敏感凭据(appKey),并在文档与示例中指定从环境变量 XG_BIZ_API_KEY 读取,但元数据没有声明任何 required env vars 或 primary credential。未声明但要求敏感凭据是不匹配且值得注意的风险:用户可能在不知情情况下将凭据暴露给 Skill 或关联的自动化流程。
Persistence & Privilege
Skill 未设置 always: true,未请求额外长期驻留权限,也没有安装脚本或修改其他技能或系统范围配置,持久性/特权请求为默认且低。
What to consider before installing
这个 Skill 本质上是对内部 API 的文档和示例代码,未包含可执行代码或下载步骤;主要问题是元数据未声明但文档要求的环境变量 XG_BIZ_API_KEY。建议在安装前: - 向技能发布者确认并要求他们把 XG_BIZ_API_KEY 列入 required env vars(或明确说明为何不需要)。 - 仅在你信任目标域名(https://cwork-api.mediportal.com.cn)和 Skill 发布者时才提供 appKey。不要在公共或高权限代理上暴露该环境变量。 - 如果你需要测试,先在隔离环境(临时账号/受限权限的 appKey)中运行,避免使用生产凭据。 - 注意文档示例包含文件上传/下载和对公司员工数据的读取,确认你允许这种数据被请求并确保遵守组织的隐私/合规规则。 总体来说,Skill 功能看起来与描述一致,但元数据与运行时需求不匹配——这类不一致应在信任并提供凭据之前解决。

Like a lobster shell, security has layers — review code before you run it.

latestvk977gdcwfczpnb11y4ck8a2rx584gr81
90downloads
0stars
2versions
Updated 2w ago
v1.0.1
MIT-0

玄关开放平台 API Skill

概述

本 Skill 提供玄关(工作协同)开放平台 OpenAPI 的完整使用指南,帮助开发人员快速接入和使用平台提供的各种服务。

服务模块

平台提供以下服务模块:

模块路径前缀功能说明
用户服务/cwork-user员工信息查询、搜索
文件服务/cwork-file文件上传、下载
工作汇报服务/work-report汇报发送、回复、待办查询
BP目标管理服务/bp目标周期、分组、任务管理
知识库服务/document-database文档库文件管理

快速开始

1. 基础信息

  • 基础路径: /open-api
  • 认证方式: Header 中携带 appKey,具体值可以从环境变量 XG_BIZ_API_KEY 获取
  • 请求域名: https://cwork-api.mediportal.com.cn

2. 通用请求头

headers = {
    "Content-Type": "application/json",
    "appKey": "your_app_key_here",  # 从环境变量 `XG_BIZ_API_KEY` 获取
    "Accept": "application/json"
}

3. 统一返回结构

{
  "resultCode": 1,
  "resultMsg": "success",
  "data": {}
}
  • resultCode: 1=成功,其他=失败
  • resultMsg: 失败原因
  • data: 业务数据

核心功能速查

用户相关

功能接口方法
搜索员工/cwork-user/searchEmpByNameGET
批量获取员工/cwork-user/employee/getByPersonIds/{corpId}POST

文件相关

功能接口方法
上传文件/cwork-file/uploadWholeFilePOST (multipart)
获取下载信息/cwork-file/getDownloadInfoGET

工作汇报相关

功能接口方法
发送汇报/work-report/report/record/submitPOST
回复汇报/work-report/report/record/replyPOST
获取待办/work-report/todoTask/todoListPOST
获取汇报内容/work-report/report/infoGET
查询工作任务/work-report/report/plan/searchPagePOST

BP目标管理相关

功能接口方法
查询周期列表/bp/period/getAllPeriodGET
获取分组树/bp/group/getTreeGET
查询任务树/bp/task/v2/getSimpleTreeGET
获取目标详情/bp/task/v2/getGoalAndKeyResultGET

知识库相关

功能接口方法
获取下级文件/document-database/file/getChildFilesGET
获取文件内容/document-database/file/getFullFileContentGET

详细参考文档

使用场景指南

场景 1: 查询员工信息

当需要获取员工信息时:

  1. 模糊搜索: 使用 searchEmpByName 接口,按姓名模糊搜索
  2. 精确查询: 使用 getByPersonIds 接口,传入 personId 列表批量获取

场景 2: 文件操作

  1. 上传: 调用 uploadWholeFile,返回文件 ID
  2. 下载:
    • 先调用 getDownloadInfo 获取下载 URL(有效期1小时)
    • 使用 URL 下载文件内容

场景 3: 发送工作汇报

  1. 获取事项列表: 调用 listTemplates 获取可用的事项
  2. 构建层级参数: 定义汇报的流转层级(建议、决策、传阅)
  3. 发送汇报: 调用 submit 接口提交

场景 4: 处理待办

  1. 查询待办: 调用 todoList 获取待处理列表
  2. 获取详情: 调用 getReportInfo 查看汇报内容
  3. 回复处理: 调用 reply 进行回复或审批

场景 5: BP目标管理

  1. 获取周期: 调用 getAllPeriod 获取可用的目标周期
  2. 获取分组: 调用 getGroupTree 获取周期下的分组树
  3. 查询任务: 调用 getSimpleTree 获取分组下的任务树
  4. 查看详情: 调用 getGoalAndKeyResult 查看目标详情

注意事项

  1. 认证: 所有请求必须在 Header 中携带有效的 appKey
  2. 文件上传: 使用 multipart/form-data,不要设置 Content-Type
  3. 下载链接: 通过 getDownloadInfo 获取的 URL 有效期为1小时
  4. 分页: 分页接口的 pageNum 从 1 开始
  5. ID 类型: 大多数 ID 字段为 Long 类型(64位整数)

常见问题

Q: 如何获取 appKey? A: 从环境变量 XG_BIZ_API_KEY 获取。

Q: 文件上传大小有限制吗? A: 请参考工作协同系统的具体配置,通常有单文件大小限制。

Q: 汇报的 levelParams 如何构建? A: level 从 1 开始递增,type 可选值:read(传阅)、suggest(建议)、decide(决策)。每个层级需要指定 nodeCode、nodeName 和 levelUserList。

Comments

Loading comments...