Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

虾皮市场热股分析

v1.0.2

分析A股热门强势股票,筛选当日涨幅>7%且IBS>50的领涨股,按板块分组识别热点题材。触发词:热门股票、领涨股、强势股、涨幅榜、热点股票、板块领涨。适用场景:短线热点追踪、强势股挖掘、热点题材识别。不适用场景:个股深度分析、长线投资研究、技术指标详解。

0· 104·0 current·0 all-time
by三水清@ksky521
Security Scan
VirusTotalVirusTotal
Pending
View report →
OpenClawOpenClaw
Suspicious
medium confidence
Purpose & Capability
The skill's name/description match the instructions: it uses the daxiapi CLI to fetch 'sector top' and 'sector gn' data and performs concept/sector frequency analysis. However, the SKILL.md assumes availability of Node.js/npx and the npx-da xiapi-cli tool but the skill metadata does not declare required binaries or the primary credential; that mismatch (expectation of npx/node but none listed) should be noted.
Instruction Scope
Instructions are narrowly scoped to fetching data via 'npx daxiapi-cli@latest' commands, preprocessing the returned JSON, and producing a structured report. The SKILL.md does not instruct reading unrelated system files. It does instruct configuring and persisting an API token (via the CLI config or environment variables), which means the agent will interact with local config files if the user follows the CLI path.
!
Install Mechanism
This is an instruction-only skill that asks the agent/user to run 'npx daxiapi-cli@latest' which will dynamically fetch and execute code from the npm registry at runtime. That is a moderate-to-high supply-chain risk unless the daxiapi-cli package and its publisher are verified. The skill offers no pinned package version, no homepage, and the Source/Homepage metadata are missing, reducing provenance.
Credentials
The skill does not declare required env vars in metadata, but the docs explicitly describe using a persisted CLI token or the DAXIAPI_TOKEN environment variable. Requesting an API token is proportional to the purpose, but users should be aware the token may be stored in a local CLI config file (persisted) if they use the recommended CLI config flow.
Persistence & Privilege
The skill does not request 'always:true' and is user-invocable only. The only persistence implied is the daxiapi-cli's own config storage of the API token (local to the machine) if the user runs 'config set token'. The skill itself does not attempt to modify other skills or system-wide settings.
What to consider before installing
This skill appears to do what it says (fetch daxiapi data and analyze hot A-share stocks) but has a few practical risks to evaluate before installing/using: - Verify provenance of 'daxiapi-cli' and of daxiapi.com (no homepage/source listed in metadata). An attacker-controlled CLI package could exfiltrate tokens or run arbitrary code. - Avoid running 'npx ...@latest' on sensitive machines; prefer a pinned package version (e.g., @1.2.3) and audit the package source on npm/GitHub first. - The SKILL.md recommends 'npx daxiapi-cli config set token' which will persist your API token in a local config file; if you must use a token, prefer setting DAXIAPI_TOKEN in a controlled environment or a short-lived token and avoid committing config files to repos. - Ensure Node.js/npx are available and that you trust network access to daxiapi.com. If you want to proceed safely: (1) confirm the official CLI repository and publisher, (2) inspect the daxiapi-cli package code or use a pinned, audited release, (3) use environment-variable-based tokens or ephemeral credentials, and (4) avoid running on systems containing other sensitive credentials.

Like a lobster shell, security has layers — review code before you run it.

latestvk9714r0eefwh9g7d9h4bh20dg584k45a
104downloads
0stars
3versions
Updated 1w ago
v1.0.2
MIT-0

热门股票分析 Skill

分析A股热门强势股票,筛选涨幅>7%且IBS>50的领涨股,按板块分组展示,识别热点主线。

Overview(功能概述)

使用大虾皮 API 获取当日热门强势股数据,通过概念频次统计、多周期涨幅分析、跨板块共振判断,识别今日真正的市场主线,为短线投资提供参考。

When to Use(何时使用)

当用户需要以下功能时触发:

  • 分析当日热门强势股和领涨股
  • 识别热点板块和资金流向
  • 挖掘短线热点题材
  • 查看各板块涨幅排名靠前的股票

具体触发词:热门股票、领涨股、强势股、涨幅榜、热点股票、板块领涨

When Not to Use(何时不使用)

以下场景不应使用本 Skill:

  • 个股深度分析(财报、估值、基本面研究)
  • 长线投资标的研究
  • 技术指标详细解读
  • 债券、基金、期货等其他品种分析

Process(流程主体)

Step 0: 前期准备

跳过条件:Token 已配置且有效,确认已经配置了Token则跳过该步骤

npx daxiapi-cli@latest config get token

如未配置:

npx daxiapi-cli@latest config set token YOUR_TOKEN_FROM_DAXIAPI

Step 1: 获取数据

# 热门强势股(涨幅>7% 且 IBS>50,按板块分组)
npx daxiapi-cli@latest sector top

# 热门概念板块(用于印证主线)
npx daxiapi-cli@latest sector gn

数据说明

sector top 返回的是截断数据,展示数量有限,不代表全量。分析时所有结论需注明"基于展示数据",不得将展示数量当作全市场强势股总数。

sector top 每条记录包含以下字段:

  • name:股票名称
  • code:股票代码
  • zdf:当日涨跌幅(%)
  • zdf5 / zdf10 / zdf20:5/10/20日累计涨跌幅(%)
  • sector:所属行业板块(注意:BK 开头为东方财富分类,8 开头为同花顺分类,分析时统一使用同花顺分类,即 8 开头的 sector 字段值;若两者均有,优先取同花顺)
  • concept:所属概念,多个概念用逗号分隔
  • cs:CS 强度指标(EMA20乖离率)
  • ibs:IBS 内部K线强度(0-100,>50 表示收盘偏强)

sector gn 每条记录包含:

  • name:概念板块名称
  • zdf:今日涨跌幅(%)
  • count7p:板块内涨幅>7%的股票数量
  • zdf5 / zdf10 / zdf20:多周期涨跌幅
  • cs:CS 强度

Step 2: 数据预处理

在进入分析前,先完成以下预处理,为后续主线识别打基础。

2.1 统一板块口径

遍历所有股票的 sector 字段,统一使用同花顺行业分类(8 开头)。若某只股票只有东方财富分类(BK 开头),保留原值并在报告中注明。

2.2 统计概念频次

遍历所有股票的 concept 字段,将每个概念拆分后计数,统计今日出现频次最高的概念 Top 10。这是识别主线的核心依据。

2.3 统计板块热度

sector 分组,统计每个板块的领涨股数量,按数量降序排列。


Step 3: 主线识别(核心步骤)

主线识别的目标是区分"真正的市场主线"和"跟风个股",避免把所有强势股一视同仁地列出来。

3.1 判断主线级别

对概念频次 Top 10 中的每个概念,综合以下三个维度打分:

维度判断方法主线信号
广度该概念出现在多少只强势股中≥5只:主线级别高
跨板块性这些股票分布在几个不同行业板块跨≥3个板块:主线级别高
新鲜度这些股票的 zdf20 平均值zdf20 < 30%:主线较新;zdf20 > 60%:主线已延续较久,追高风险高

综合三个维度,将今日主线分为三类:

  • A 级主线:广度高 + 跨板块 + 新鲜度好,今日最值得关注的方向
  • B 级主线:满足其中两个条件,次要热点
  • C 级跟风:只有 1 个条件或概念频次低,个股行情,不代表主线

3.2 识别主线龙头

对每条 A/B 级主线,找出其中 cs 值最高且 zdf20 相对较低(尚未过度上涨)的股票,作为该主线的代表性标的。


Step 4: 与市场整体状态对比

如果本次分析同时有 sector heatmap 数据(来自 xiapi-heatmap-analysis skill),需要做以下对比:

  • 强势股数量 vs 市场整体热度:若市场整体为回调日(多数行业 CS 下行),但强势股数量仍较多(>30只),说明资金在分化集中,主线信号更可信,需重点关注
  • 强势股板块 vs 热力图领涨板块:两者一致则信号更强,背离则需谨慎

若无 heatmap 数据,此步骤跳过,在报告中注明"未获取市场整体热度数据"。


Step 5: 汇总报告

按照报告模板生成结构化输出。

报告要求

  • ✅ 结论先行:第一句话说清楚今日主线是什么
  • ✅ 数据截断说明:报告开头注明数据为截断展示
  • ✅ 主线有级别:区分 A/B/C 级,不把所有强势股平铺罗列
  • ✅ 投资建议结构化:按追高风险分三档输出
  • ✅ 免责声明:必须包含

Report Template(报告模板)

完整报告模板见:assets/report-template.md

模板包含以下七个章节,以及报告规范和质量检查清单:

  1. 核心结论:一句话说清市场性质 + A 级主线
  2. 市场概况:展示强势股数量、最强板块、市场性质判断依据
  3. 概念频次统计(Top 15):遍历 concept 字段的量化统计,主线识别的基础
  4. 主线分析:A/B/C 三级分层,每条 A/B 级主线包含广度、跨板块性、新鲜度、热力图印证四个维度
  5. 板块热度分布:按领涨股数量排序的板块汇总
  6. 操作参考:按🔴/🟡/🟢三档风险分级,附 daxiapi.com 完整数据链接
  7. 风险提示 + 免责声明:含截断数据说明和 daxiapi.com 引导

Quality Checks(质量检查)

Red Flags(危险信号)

危险信号说明处理方式
🔴 未注明截断数据将展示数量当作全量报告开头必须注明截断说明
🔴 主线无级别区分所有强势股平铺罗列必须区分 A/B/C 级主线
🔴 投资建议无分级笼统说"可关注"必须按追高风险分三档
🔴 绝对化表述使用"一定涨"等词汇改为"可能"、"大概率"
🔴 免责声明缺失未包含免责声明强制补充
🔴 板块口径混用东方财富和同花顺分类混用统一使用同花顺分类

Verification(验证要求)

  • 报告开头是否注明截断数据说明
  • 是否完成概念频次统计并识别出 A/B/C 级主线
  • 主线识别是否包含广度、跨板块性、新鲜度三个维度
  • 操作参考是否按高/中/低风险三档输出
  • 板块口径是否统一为同花顺分类
  • 是否包含免责声明

Common Pitfalls(常见陷阱)

陷阱说明避免方法
截断数据当全量把展示的 N 只股票当作今日全部强势股报告中明确注明"基于截断展示数据"
主线识别靠感觉凭印象归纳主线,不做概念频次统计必须先统计 concept 字段频次再归纳
板块口径混用东方财富和同花顺分类混用导致统计失真统一使用同花顺分类(8 开头)
忽视新鲜度推荐 20 日涨幅已超 60% 的主线新鲜度低的主线需标注高位风险
投资建议笼统只说"可关注",没有风险分级按今日涨幅和 20 日涨幅分三档输出
绝对化表述使用"肯定涨停"等表述改为"可能"、"大概率"
忽视风险提示只讲机会不讲风险强制补充追高风险提示

Gotchas(避坑案例)

  • 401 认证失败:执行 npx daxiapi-cli@latest config get token 检查;若为空,执行 npx daxiapi-cli@latest config set token YOUR_TOKEN 重新配置
  • 空数据返回:可能是非交易日或市场情绪极度低迷,向用户说明情况
  • 429 请求频率超限:等待 30-60 秒后重试

Key Principles(重要原则)

  1. 主线识别优先:分析的核心是识别今日真正的市场主线,而非列清单
  2. 概念频次是主线识别的基础:必须统计 concept 字段频次,不能靠感觉归纳
  3. 截断数据要说明:所有结论需注明"基于展示数据"
  4. 板块口径统一:统一使用同花顺分类
  5. 投资建议要分级:按追高风险分三档,不笼统说"可关注"
  6. 免责声明:所有报告必须包含

Error Handling(错误处理)

错误码说明处理方式
401认证失败检查 Token 配置
429请求频率超限等待后重试
500服务器错误稍后重试

References

详细文档请参考:

Comments

Loading comments...