Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
zotero-literature-review
v1.0.0深度集成 Zotero 本地及联网文献检索，验证全文 PDF，精准提取技术细节，生成准确结构化的学术文献综述。
⭐ 0· 35·0 current·0 all-time
by@sun2001
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
名称与描述宣称“深度集成 Zotero”、读取本地 Zotero 存储与 PDF、调用 Zotero API，并与其他技能（file-classification-manager、zotero-integration、multi-search 等）协同工作 — 这些都和文献综述目的相符。问题是 registry 元数据没有声明任何依赖或必需的外部技能/库，README/SKILL.md 却明确依赖 PDF 解析库、OCR 可能性与其他技能；这是一种不一致（实现/运行所需组件未被声明）。
Instruction Scope
SKILL.md 明确指示全面扫描用户本地 Zotero 存储、读取完整 PDF、提取并“保存提取的原文内容”、将输出写入 projects/... 并使用临时目录等。这些行为与技能目的相关但涉及大量本地文件访问与写入：需要用户显式授权并确认目标路径。SKILL.md 也假定存在可调用的函数/技能（read_full_pdf、fuzzy_search、organize_outputs 等）而未限定运行环境或安全边界，给出广泛的文件读写权限。
Install Mechanism
技能为 instruction-only（无 install spec、无代码文件），因此本身不在安装时写磁盘或下载远端代码，这是较低风险。但 README/SKILL.md 提到的运行时需求（PyMuPDF、pdfplumber、OCR 工具如 Tesseract、以及与其他技能的集成）未在元数据中声明——如果代理在运行时会尝试自动安装这些工具或调用其他未声明技能，会增加风险。
Credentials
技能未声明任何必须的环境变量或主凭据。SKILL.md 提到 Zotero API key 是可选项（'可选 获取 Zotero API Key'），这与功能相符。没有看到请求与文献综述目的无关的凭据或秘密。但需要注意：若用户向技能提供 Zotero API Key 或让代理访问本地存储，技能将获得访问/修改文献数据的能力——这是功能所需但敏感，需要用户谨慎授权。
Persistence & Privilege
技能未请求 always:true（默认不被强制注入），也没有声明会修改其它技能或系统级配置。README 提到输出将保存在用户目录下的 projects/...，这是合理的持久输出行为，但用户应确认并审查写入路径与是否保留中间文件（temp/）。
What to consider before installing
这个技能声称做的是“基于 Zotero 的深度文献检索与完整 PDF 提取”，总体方向合理，但有几处需要你注意并在安装/使用前确认：
- 来源与信任：发布者未知且主页缺失——如果你要运行它，请先确认来源可信或在隔离环境中测试。
- 本地文件访问：SKILL.md 会扫描并读取你的 Zotero 本地存储和 PDF（可能大量读写）。确保你理解并允许哪个具体目录会被访问，避免让它读到与项目无关的敏感文档。
- 未声明的依赖与外部技能：文档里提到需要 PDF 解析库（PyMuPDF、pdfplumber）、OCR（如果遇到扫描件）及其他技能（file-classification-manager、zotero-integration、multi-search）。元数据没有列出这些依赖或要求自动安装。询问或确认运行时环境是否具备这些工具，或是否会自动下载安装代码。
- API Key 与凭据：Zotero API key 为可选，但如果你提供了该密钥，技能将能访问你在 Zotero 在线服务上的数据。只在必要且信任时提供，并考虑创建最小权限的 key（如果 Zotero 支持）。
- 输出与数据保留：技能会把输出和临时文件写到 projects/... 和 temp/...，确认默认路径并在任务结束后清理中间文件（以防敏感数据残留）。
- 最小化权限试验：初次使用时，先用一个小的、非敏感的 Zotero 子集合或在沙箱/临时目录里运行，验证其行为和输出质量；不要直接授权对整个用户目录或所有 PDF 的访问。
- 如果你不熟悉这些细节或不能在受控环境中测试，建议暂缓安装或仅在人工监督下使用（先交互确认每一步）。
总结：技能功能与描述基本一致，但元数据与说明书在依赖、集成与运行时权限方面存在不一致或未声明点，因此标为“可疑（suspicious）”。如决定使用，请先验证依赖、限制其文件访问范围并在受控环境中试运行。Like a lobster shell, security has layers — review code before you run it.
latestvk976sqqxzj0fbtg0c9z45c4k65847cth
License
MIT-0
Free to use, modify, and redistribute. No attribution required.