Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

ai-medical-care-manager-skill-amap-reminder-poster

v1.0.1

面向C端门诊就医全流程。先做症状分流和挂号科室判断，再推荐医院/医生 Top 3，并继续完成挂号引导、就医准备卡、自动提醒、诊后解释，以及基于 amap-lbs-skill 的高德到院路线规划。

⭐ 1· 67·0 current·0 all-time

by@sunlinlin-aragon

MIT-0

Download zip

LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.

Security Scan

VirusTotal

Benign

View report →

OpenClaw

Benign

high confidence

✓

Purpose & Capability

技能名与描述为门诊就医流程管理；代码包括症状分流、科室匹配、挂号文本解析、就诊准备卡、提醒生成与基于高德的路线工具，且包含医院 CSV 数据。所请求的二进制（python3、node）和 npm axios 与实现的脚本用途一致。

ℹ

Instruction Scope

SKILL.md 指示运行仓内脚本并读取仓内资源（assets/*.csv、references/*、scripts/*），这些都与功能相关。需注意：IP 粗定位（amap_ip_locate.js）应该只在实际拥有用户 IP 时使用；生成路线时会把坐标/任务数据编码到可点击的高德页面链接（generateMapLink），这会将起点/终点坐标暴露给用于可视化的 a.amap.com 页面（这是功能所需但应知情）。

✓

Install Mechanism

仅声明了 npm 依赖 axios（package.json）并要求本地有 python3 与 node，安装规格简单且来源为常见 npm 包，未见从不可信 URL 下载或可疑提取步骤。

ℹ

Credentials

技能在注册信息中未强制要求任何环境变量，路由功能为可选且只在配置 AMAP_WEBSERVICE_KEY / AMAP_KEY（或通过 vendor/config.json 写入的 key）时启用。需要提醒：如果启用路线能力，技能会使用并可能在脚本目录下保存高德 Key（vendor/config.json），这是为了便捷但会在磁盘上存储凭据——用户应考虑是否愿意把 Key 放入本地配置或环境变量。

ℹ

Persistence & Privilege

技能不会设置 always:true，也不要求修改平台或其他技能配置。但 vendor/amap_index.js 会在自身目录读写 config.json（保存/读取高德 Key）；这是局部持久化行为且与功能有关，但用户应知晓凭据会被保存在技能目录下（非加密）。

Assessment

总结与建议： - 功能相干性：此技能在功能、脚本与说明上自洽，能本地使用医院 CSV 做分诊与推荐，且在配置高德 Key 时提供路线与可点击地图链接。 - 隐私与网络：若启用高德路线功能，起点/终点坐标及构造的 mapTaskData 会以 URL 参数发送到 a.amap.com 的可视化页面，且请求会到高德的 REST API；如不希望发送位置信息，可不配置 AMAP_KEY 或避免调用路线功能。 - 本地凭据存储：若提供高德 Key，脚本会优先读取环境变量，若缺失会读/写 scripts/vendor/config.json 来保存 Key（以明文 JSON 存储）。若担心凭据被写入磁盘，请仅通过环境变量或平台安全配置注入 Key，或在用后手动删除该 config.json。 - 医疗与合规：技能包含急症分流规则与诊后免责声明，但它不是诊断工具。不要把敏感个人身份信息或完整医疗记录（尤其含身份证号、医保号等）直接上传到不受信任的环境；在使用 OCR 文本或上传资料时，注意去标识化或只提供完成任务所需的最少信息。 - 交互外延：技能会在流程闭环后建议可用其他“海报/文案”技能（qiaomu-mondo-poster-design / social-copywriter）生成社交内容；若不希望自动推广或产生社交内容，请在对话中忽略该推荐。总体上，如果你需要本地化的门诊流程辅助并理解位置数据会送往高德用于地图/路线，这个技能是功能一致且可审计的；若对凭据存放或位置外发有顾虑，请先不配置高德 Key 或检查/删除 vendor/config.json。

✗

scripts/amap_geocode.js:19

Environment variable access combined with network send.

✗

scripts/amap_ip_locate.js:31

Environment variable access combined with network send.

✗

scripts/vendor/amap_index.js:59

Environment variable access combined with network send.

scripts/vendor/amap_index.js:14

File read combined with network send (possible exfiltration).

Patterns worth reviewing

These patterns may indicate risky behavior. Check the VirusTotal and OpenClaw results above for context-aware analysis before installing.

Like a lobster shell, security has layers — review code before you run it.

latestvk97f5nfrpg71yv1dd6n7835x8n83aewn

License

MIT-0

Free to use, modify, and redistribute. No attribution required.

Termshttps://spdx.org/licenses/MIT-0.html

Runtime requirements

🏥 Clawdis

Binspython3, node

Install

Nodenpm i -g axios

ai-medical-care-manager-skill-amap-reminder-poster

License

Runtime requirements

Install

Comments