Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
公众号爆款封面生成
v1.0.1为公众号内容创作打造的AI封面设计工具，基于全网超过1000条的10w+文章，深度总结爆款封面规律，结合您的需求生成符合公众号平台的爆款封面。
⭐ 0· 43·0 current·0 all-time
byto the moon@yuanyi-github
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名/描述与包含的脚本和文档一致——它的目的是基于公众号爆款封面数据生成分析与封面方案，脚本 fetch_explosive_covers.py 用于向远端 API 拉取该数据，这与功能期望相符。但脚本的后端主机（https://onetotenvip.com/skill/...）为未说明/未知域名，且 SKILL.md 强制要求“只使用该脚本接口”的指令放大了对该未知服务的依赖，这值得审查。
Instruction Scope
运行规范强制：必须调用脚本从接口获取数据、并“逐张访问 coverUrl 原始 URL”进行图片分析，且不得修改 coverUrl、不得使用其他来源、必须把原始 coverUrl 嵌入生成的 HTML 并立即展示给用户。该流程会导致（1）代理/系统/用户环境发起对未知域名的多次外部请求；（2）当用户在浏览器打开生成的 HTML 时，浏览器会直接向第三方服务器加载图片（可能带来跟踪或泄露 referrer/访问行为），尽管模板建议使用 meta referrer no-referrer，但 agent 在检索图片和在后台分析时仍会接触这些 URL；（3）强制使用“原始 coverUrl”可能包含追踪参数或私有访问令牌。总之，说明文件要求的网络访问超出了单纯“生成封面”所需的最小网络交互，存在隐私/数据外泄风险。
Install Mechanism
这是一个 instruction-only 技能，未声明安装步骤，只有一个 Python 脚本和 Markdown 文档。依赖是 requests>=2.28.0（已在 SKILL.md 声明）。没有从不明 URL 下载或在安装时写入可执行文件的行为，因而安装风险较低；但脚本在运行时会发起网络请求到未知第三方服务，这构成运行时风险而非安装风险。
Credentials
技能没有请求环境变量或凭证（requires.env 为空），也不要求访问系统配置路径或其他技能的凭证——就权限请求而言是节制的。但技能强制要求访问第三方 API 和多张外部图片，这些网络交互本身可能披露运行环境的网络元数据（例如来自哪个 IP/网络的请求），这是网络/隐私层面的考虑，而非环境变量滥用。
Persistence & Privilege
技能没有设置 always:true，也不尝试修改其他技能或系统配置。它在权限/持久性方面没有过度要求。允许模型自主调用（默认）是平台常态，这里没有额外异常权限。
What to consider before installing
这个技能看起来确实能按说明从一个后端 API 拉取公众号封面数据并生成分析报告，但它强制依赖并反复访问一个未说明的第三方域名 (onetotenvip.com)，并且要求逐一访问并嵌入 API 返回的原始 coverUrl。风险与注意点：
- API 来源不明：在安装或运行前，尽量确认 onetotenvip.com 的归属和隐私政策；如果无法确认，避免在包含敏感数据或在受信网络中运行。
- 图片与跟踪：生成的 HTML 会直接引用第三方图片 URL，用户在打开该 HTML 时会向这些服务器发起请求（可能留下访问记录或触发跟踪）。考虑将图片代理或先下载并本地化后再展示，或在沙箱/断网环境中测试。
- 原始 URL 要求：技能要求“原样使用 coverUrl”，可能包含查询参数或短期令牌，谨慎检查这些 URL 是否包含敏感标识。
- 建议操作：如果您想使用该技能，先在隔离环境（网络受限或可审计的环境）运行一次，用 debug 模式查看脚本返回的 JSON（脚本支持 debug 输出），并审查返回的 coverUrl/oriUrl 字段，确认没有泄露风险；必要时将图片托管到受信任的代理/存储再在报告中展示。
总体建议：功能一致但存在明显的外部依赖与隐私触点，若无法验证第三方 API 的可信度或希望避免对外多次访问，请谨慎安装或先在受控环境中审查脚本交互与返回内容。Like a lobster shell, security has layers — review code before you run it.
latestvk97ebfhb4k7q3wmk4ystmr9fc184vc4q
License
MIT-0
Free to use, modify, and redistribute. No attribution required.