Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Session Manager - 会话管理
v1.0.3自动清理和管理 OpenClaw 不活跃会话，支持白名单保护和定时任务，保持系统会话整洁有序。
⭐ 0· 56·0 current·0 all-time
byRoxy18@zx0018
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
Skill 名称与主要脚本（会话列举、清理、监控）一致；新增的反向代理和批量用户功能也合理与多用户场景相关。但元数据声明没有任何必需凭证或 config 路径，而脚本确实需要/使用一个 OpenClaw Token（OPENCLAW_WEBCHAT_TOKEN），存在声明与实际需求不一致。
Instruction Scope
运行说明要求执行 install.sh、setup-proxy.sh、create-users.sh 等，脚本会修改 /etc/nginx、创建/启用 site 配置并重载 nginx（需要 sudo），以及创建 cron 任务。SKILL.md 提到可选环境变量 OPENCLAW_SESSIONS_DIR 和 SESSION_MANAGER_CONFIG，但实际脚本大部分并不使用这些变量（脚本硬编码了 $HOME/.openclaw/... 路径）。此外，setup-proxy.sh 会将 Token 直接嵌入 nginx 配置中的重定向 URL，这会把凭证置于可持久化的配置文件与最终的 URL 中（易被日志、浏览器历史、referrer 等记录）。
Install Mechanism
没有远程下载或可疑第三方包，文件随包提供。安装脚本会创建配置文件、日志、并可能通过 openclaw cron 添加定时任务；setup-proxy.sh 在必要时会自动调用 apt 安装 nginx（sudo）。总体为本地脚本操作，但会修改系统级 nginx 配置，需谨慎。
Credentials
元数据与 SKILL.md 未声明必需凭证，但 create-users.sh 和 setup-proxy.sh 要求 OPENCLAW_WEBCHAT_TOKEN（可以从环境变量读取或作为参数传入）。把 Token 作为必需数据但未在 registry 要求中声明是不一致且高风险：脚本将 Token 写入 /etc/nginx/sites-available/openclaw-<user>（持久化、root 可读），并把 Token 放到重定向 URL 的 query 参数中，导致凭证可能被记录到多处日志或泄露。SKILL.md 虽有关于不要在命令行中明文传递 Token 的提醒，但脚本仍接受命令行 Token 参数（用户容易误用）。另外，SKILL.md 中提到的会话目录与配置环境变量并未被脚本采纳，说明声明与实现不匹配。
Persistence & Privilege
Skill 不要求 always:true，但会在安装/运行时创建或修改系统级资源：可能创建 cron 条目（openclaw cron add）并修改 /etc/nginx 配置与重载服务（需要 sudo）。这赋予脚本系统级持久化影响（长期存在的 nginx 配置包含 Token），所以在未完全信任代码前不应在生产主机运行。
What to consider before installing
这个 Skill 的主要会话清理/监控功能与说明一致，但存在重要不一致和凭证暴露风险 to 注意：
- scripts/setup-proxy.sh 与 scripts/create-users.sh 实际需要一个 OpenClaw Token (OPENCLAW_WEBCHAT_TOKEN)，但 registry 元数据并未声明该凭证。请假设脚本会读取并使用该环境变量。
- setup-proxy.sh 会把 Token 以明文形式嵌入 /etc/nginx/sites-available/openclaw-<user> 配置文件并在重定向 URL 中传递：这会把 Token 持久化到系统文件并可能通过日志、浏览器历史、referrer 等泄露。除非你能接受该风险，否则不要启用反向代理功能或修改脚本以避免把 Token 放在 URL/配置文件中（例如使用 proxy_pass 并通过后端 Header 传递、或在代理端注入短期凭证）。
- SKILL.md 声称可通过 OPENCLAW_SESSIONS_DIR / SESSION_MANAGER_CONFIG 覆盖路径，但大多数脚本硬编码了 $HOME/.openclaw/...，说明作者文档与实现不一致。若你需要不同路径，请审查并修改脚本以确保它使用你的环境变量。
- 在受信任的测试环境中先运行并审查：检查 created nginx 配置、cron 条目和生成的日志文件，确认 Token 没有泄露到不应有的位置。
- 如果你 require this skill in production, request that the author:
1) declare required env vars (OPENCLAW_WEBCHAT_TOKEN) in metadata;
2) stop embedding tokens in URLs/configs and instead use safer proxy headers or short-lived tokens;
3) make scripts honor the documented env vars for session/config paths.
如果你不熟悉 sudo 与 nginx 配置，或者无法审核文件内容，请不要在生产主机上执行 setup-proxy.sh 或 create-users.sh。Like a lobster shell, security has layers — review code before you run it.
automationvk975aa587wnavqy241vh2t4n4d84e8tfcleanupvk975aa587wnavqy241vh2t4n4d84e8tfcronvk975aa587wnavqy241vh2t4n4d84e8tflatestvk975aa587wnavqy241vh2t4n4d84e8tfmanagementvk975aa587wnavqy241vh2t4n4d84e8tfnginxvk975aa587wnavqy241vh2t4n4d84e8tfproxyvk975aa587wnavqy241vh2t4n4d84e8tfsecurityvk975aa587wnavqy241vh2t4n4d84e8tfsessionvk975aa587wnavqy241vh2t4n4d84e8tf
License
MIT-0
Free to use, modify, and redistribute. No attribution required.