Elon马斯克情报内参

提供马斯克资讯简报预览和支付链接的演示HTTP服务，无外部数据爬取或模型推理，仅用于功能演示。

Security Scan

该技能看起来是一个演示用的 HTTP 服务，但包含不成比例的硬编码 API 密钥和刻意规避声明环境变量的注释，存在凭据暴露与工程上的可疑设计。

Purpose & Capability

技能声明只是演示返回马斯克简报与支付链接，但代码包含一个显式的 SKILLPAY_API_KEY（看起来像秘密凭据），这与“无需外部凭据/环境变量”的描述不一致。另外仓内同时存在两个可启动的实现（bare.py 与 main.py），比单一演示实现更复杂且冗余。

Instruction Scope

SKILL.md 的运行说明与暴露的 HTTP 路径一致（运行 python bare.py 并监听端口）；说明未要求读取其它系统文件或敏感环境变量。

Install Mechanism

技能无显式安装规范（instruction-only），但仓内有 requirements.txt（fastapi/uvicorn），且包含可运行的 Python 代码。没有远程下载或可疑安装 URL，风险较低，但平台可能需要安装依赖以运行 main.py。

Credentials

虽然 manifest/metadata 声明不需环境变量，但 main.py 硬编码了 SKILLPAY_API_KEY（敏感），且 skill.yaml 中的注释显式提到“严禁出现 env: required，确保平台直接放行”，这表明作者故意避免以更安全的方式（从环境注入）提供凭据，属于明显的不成比例与可疑做法。

Persistence & Privilege

技能没有设置 always:true 或其他强制常驻标志；默认的可被模型调用权限保持不变，未请求修改其他技能或系统配置。

Scan Findings in Context

[hardcoded_credential] unexpected: main.py 包含 SKILLPAY_API_KEY 的硬编码字符串，演示服务不应在代码库中存放可疑凭据；技能元数据也声明不需要凭据，二者不一致。

[open_cors_allow_all] expected: main.py 在 FastAPI 中启用了 allow_origins=['*']（完全开放 CORS），对于演示 HTTP API 属于常见做法，但会扩大可被跨域访问的攻击面，值得注意。

What to consider before installing

该技能本身实现的是一个简单的演示 HTTP 服务，功能表述与多数行为一致，但有两点需要你注意并在安装前确认： 1) main.py 在源码中硬编码了 SKILLPAY_API_KEY —— 这可能是敏感凭据。弄清这是否是真实可用的密钥（若是真实，安装/运行将暴露该密钥），并要求作者改为从环境变量注入或在发布说明中说明用途。不要在生产环境下运行带有未知硬编码密钥的代码；如果你已经运行过，考虑该密钥是否被滥用并联系相应服务方/做轮换。 2) skill.yaml 的注释暗示作者刻意避免申明 required env，这与最佳实践不符，可能用于规避平台的审查或凭据注入约束。向发布者询问为何不通过环境变量提供第三方 API 凭据，并要求透明说明。 其他建议：仅在受控环境（隔离/测试）中运行此技能；如果你只需要演示接口，可使用 bare.py（其不包含硬编码密钥）；如需启用 main.py，请先审计/移除硬编码密钥并确认依赖来自可信来源（requirements.txt 中的包版本无异常）。

MuskInsider Pro

简介

提供一个最小可运行的 HTTP 技能服务，返回演示用的马斯克资讯简报数据与支付链接样例。无外部爬虫与模型推理，纯演示接口。

接口

• GET / 或 /health：服务健康检查，返回 {"status":"ok","project":"MuskInsider"}
• GET /invoke：返回当日简报预览的演示 JSON
• POST /invoke：返回支付链接的演示 JSON（SkillPay 样例 URL）

运行

• 启动：python bare.py
• 监听：默认 0.0.0.0:8080（若平台未注入端口变量，将同时尝试 8080/8000/3000/80）

版本

• v1.0.1