OpenClaw/clawhub-security-signals huggingface dataset:
Skill: solidexu/go-install (version 1.0.0)

--------------------------0aa845c205f28859 Content-Disposition: form-data; name="file"; filename="SKILL.md" Content-Type: application/octet-stream --- name: go-install version: 1.0.0 description: Install Go compiler on Linux for Go project compilation and testing --- # Go Compiler Installation Install Go compiler on Linux for Go project development, compilation, and testing. ## Use Cases - Go project development - Running unit tests - Compiling Go programs ## Installation Steps ### 1. Check System Architecture ```bash uname -m # x86_64 = amd64 # aarch64 = arm64 ``` ### 2. Download and Install **amd64 (x86_64):** ```bash cd /tmp curl -LO https://go.dev/dl/go1.22.0.linux-amd64.tar.gz tar -xzf go1.22.0.linux-amd64.tar.gz mv go ~/go-sdk rm go1.22.0.linux-amd64.tar.gz ``` **arm64 (aarch64):** ```bash cd /tmp curl -LO https://go.dev/dl/go1.22.0.linux-arm64.tar.gz tar -xzf go1.22.0.linux-arm64.tar.gz mv go ~/go-sdk rm go1.22.0.linux-arm64.tar.gz ``` ### 3. Configure Environment Variables ```bash export PATH=$PATH:~/go-sdk/bin export GOPATH=~/go export GOROOT=~/go-sdk ``` ### 4. Persist Configuration Add to `~/.bashrc` or `~/.profile`: ```bash echo 'export PATH=$PATH:~/go-sdk/bin' >> ~/.bashrc echo 'export GOPATH=~/go' >> ~/.bashrc echo 'export GOROOT=~/go-sdk' >> ~/.bashrc ``` ### 5. Verify Installation ```bash go version go env GOPATH GOROOT ``` ## Common Commands ```bash # Run tests go test ./... # Run tests with verbose output go test ./... -v # Build project go build -o <output> ./cmd/<entry> # Download dependencies go mod download # Tidy dependencies go mod tidy ``` ## Resource Requirements | Item | Value | |------|-------| | Download Size | ~65MB | | Extracted Size | ~300MB | | Memory | 512MB minimum | | CPU | Single core sufficient | ## Notes 1. Go has no runtime dependencies, single binary 2. Extremely fast compilation, ideal for CI/CD 3. Recommended to use LTS version (e.g., 1.22.x) 4. GOPATH directory is auto-created ## Version Selection | Version | Description | |---------|-------------| | go1.22.x | LTS stable (recommended) | | go1.21.x | Previous stable | | go1.23.x | Latest | Download: https://go.dev/dl/ --------------------------0aa845c205f28859--


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: jasonsongxd-kidd/functional-prd-writer (version 1.0.0)

--- name: functional-prd-writer description: Write concise, implementation-oriented functional Product Requirements Documents (PRDs). Use when: (1) drafting a feature spec or functional PRD, (2) describing what a feature does and how users interact with it, (3) writing requirement docs that emphasize "what" and "how" over business strategy, (4) turning feature ideas into clear, developer-ready specs. NOT for: strategy docs, competitive analysis, or AI/ML algorithm design. --- # Functional PRD Writer Produce concise, implementation-oriented PRDs. Focus on **what the feature does** and **how it works**, so developers can start building immediately. ## Core Philosophy Functional PRDs answer **what and how**. Every section should help a developer understand exactly what to build. Skip business strategy; focus on behavior, rules, data, and edge cases. ## Standard Structure Use this structure unless the user specifies otherwise: ### 1. 功能概述 (Feature Overview) - 一句话描述这个功能是什么 - 要解决什么具体问题 - 适用范围（哪些用户/场景） ### 2. 功能需求 (Functional Requirements) - 功能点列表（编号，每个功能点可独立测试） - 每个功能点的输入/输出/行为描述 - 优先级标注（P0 必做 / P1 应做 / P2 可选） ### 3. 用户流程 (User Flows) - 核心操作流程（步骤编号） - 分支流程（异常/边界情况） - 用文字流程图描述，格式： ``` 开始 → 步骤1 → 步骤2 → 分支判断 → ... ``` ### 4. 交互与界面 (UI/UX Specs) - 页面布局描述（哪些区域、什么内容） - 表单字段说明（字段名、类型、校验规则、默认值） - 操作反馈（成功/失败/加载中的提示方式） - 特殊状态展示（空数据、加载中、错误、禁用等） ### 5. 数据与规则 (Data & Business Rules) - 涉及的数据实体和字段 - 校验规则（格式、范围、必填等） - 业务规则（条件判断、计算逻辑、状态流转） - 权限控制（谁能看、谁能操作） ### 6. 接口设计 (API Design) - 涉及的接口列表（路径、方法、用途） - 请求参数和响应格式 - 错误码定义 ### 7. 边界与异常 (Edge Cases & Error Handling) - 输入异常如何处理 - 网络异常/超时如何处理 - 并发/竞态如何处理 - 数据不一致如何恢复 ### 8. 非功能性需求 (Non-functional Requirements) - 性能要求（响应时间、并发量） - 安全要求（认证、加密、防护） - 兼容性要求（浏览器、设备、系统版本） ## Writing Guidelines - 用中文撰写，除非用户指定英文 - **简洁直接**：每个功能点一段话说清楚，不要铺陈背景 - **可测试**：每个需求描述都应该能直接转化为测试用例 - **给具体值**：不说"适当限制"，说"60秒内只能发送1次" - **给具体格式**：不说"输入用户名"，说"输入用户名（3-20位字母数字，必填）" - **画状态机**：有状态流转的必须画清楚（初始态→中间态→终态） - 优先级标注：P0（必须有）/ P1（应该有）/ P2（锦上添花） - 不写的明确说明：在"范围说明"中列出本期不做的内容 ## Reference Files - **references/functional-prd-template.md** — 完整功能型 PRD 模板（Markdown） - **references/common-patterns.md** — 常见功能模式参考（CRUD、表单、列表、状态机、权限等） Read references when: user asks for a full template, or when the PRD involves common functional patterns.


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: kaiyuelv/audio-processor (version 1.0.0)

--- name: audio-processor description: "音频处理工具集 - 支持音频录制、剪辑、格式转换、频谱分析、降噪、变速变调等操作。Use when: (1) 需要处理音频文件（录音、剪辑、合并、分割）, (2) 需要转换音频格式（MP3/WAV/FLAC/OGG等）, (3) 需要分析音频特征（频谱、音量、静音检测）, (4) 需要对音频进行效果处理（降噪、变速、变调、混响）, (5) 需要提取或生成音频元数据" --- # Audio Processor 音频处理全能工具集，基于 Python + ffmpeg + librosa/pydub 实现。 ## 核心能力 ### 1. 音频格式转换 - 支持 MP3 / WAV / FLAC / OGG / AAC / M4A 互转 - 批量转换目录内音频 - 自定义比特率、采样率、声道数 ### 2. 音频剪辑与合并 - 按时间码裁剪（hh:mm:ss 格式） - 去除首尾静音段 - 多段音频合并拼接 - 淡入淡出效果 ### 3. 音频分析 - 波形可视化（matplotlib） - 频谱分析（FFT + spectrogram） - 音量检测（RMS / dBFS） - BPM / 节奏检测 - 静音段检测与分割 ### 4. 音频效果处理 - 降噪（spectral gating） - 变速不变调 / 变调不变速 - 音量标准化（peak / RMS / LUFS） - 混响、延迟效果 ### 5. 音频信息提取 - 时长、采样率、比特率、声道数 - ID3 标签 / 元数据读写 - 音频指纹生成 ## 快速开始 ```bash # 格式转换 python3 scripts/convert_format.py input.wav output.mp3 --bitrate 320k # 剪辑音频（从30秒到2分钟） python3 scripts/cut_audio.py input.mp3 output.mp3 --start 00:00:30 --end 00:02:00 # 分析音频特征 python3 scripts/analyze_audio.py input.mp3 --output report.json # 降噪处理 python3 scripts/denoise.py input.mp3 output.mp3 # 批量处理目录 python3 scripts/batch_process.py ./audio_dir/ --action convert --format mp3 ``` ## 依赖安装 ```bash pip install -r requirements.txt ``` 核心依赖：ffmpeg（系统级）、pydub、librosa、soundfile、mutagen、numpy、matplotlib、noisereduce ## 脚本说明 | 脚本 | 功能 | |------|------| | `convert_format.py` | 格式转换，支持所有主流格式 | | `cut_audio.py` | 按时间码裁剪音频 | | `merge_audio.py` | 多文件合并拼接 | | `analyze_audio.py` | 音频特征分析（波形/频谱/BPM） | | `denoise.py` | 降噪处理 | | `speed_pitch.py` | 变速变调 | | `normalize_volume.py` | 音量标准化 | | `batch_process.py` | 批量处理目录 | | `extract_metadata.py` | 元数据提取与编辑 | | `detect_silence.py` | 静音检测与自动分割 | ## 详细用法 参见 `references/` 目录： - `audio-formats.md` - 支持的音频格式详解 - `effects-guide.md` - 效果处理参数指南 - `api-reference.md` - 脚本 API 参考

path: requirements.txt
content: pydub>=0.25.1
librosa>=0.10.0
soundfile>=0.12.1
mutagen>=1.47.0
numpy>=1.24.0
matplotlib>=3.7.0
noisereduce>=3.0.0
scipy>=1.10.0
ffmpeg-python>=0.2.0


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (HIGH)
Skill: ericlooi504/eric-git-workflow (version 1.0.0)

--- name: git-workflow description: "Expert-level Git workflow guidance covering branching strategies, commit conventions, merge/rebase workflows, conflict resolution, and CI/CD integration. Use when the user needs help with: (1) Choosing a branching strategy (GitFlow, GitHub Flow, trunk-based), (2) Writing conventional commits, (3) Resolving merge conflicts, (4) Interactive rebase and squashing, (5) Git hooks and automation, (6) Submodules and monorepos, (7) Recovering from mistakes (reset, reflog, amend)." --- # Git Workflow Assistant ## Branching Strategies ### When to use what: | Strategy | Best for | Key structures | |----------|----------|----------------| | **GitHub Flow** | Continuous deployment, small teams | `main` + feature branches → PR → deploy | | **GitFlow** | Release cycles, multiple versions | `main` → `develop` → `feature/*` → `release/*` → `hotfix/*` | | **Trunk-based** | CI/CD, large teams | Short-lived feature branches → merge to `main` daily | | **GitLab Flow** | Environments per branch | `main` → `pre-production` → `production` | ## Commit conventions Follow Conventional Commits: `<type>(<scope>): <description>` ``` feat: add user authentication fix(api): handle null response from payment gateway chore(deps): upgrade express to 4.18 docs(readme): update installation guide refactor(db): extract query builder test(auth): add login flow tests ``` ## Common Workflows ### Feature branch → PR ```bash git checkout -b feat/my-feature main # ... code, commits ... git push -u origin feat/my-feature # → Open PR on GitHub/GitLab/Azure DevOps ``` ### Rebase before merge (linear history) ```bash git fetch origin git rebase origin/main # fix conflicts if any git push --force-with-lease ``` ### Interactive rebase (squash/split) ```bash git rebase -i HEAD~3 # pick, squash, reword, edit as needed git push --force-with-lease ``` ## Conflict Resolution **Strategy:** 1. `git merge <branch>` → resolve conflicts in files 2. Mark resolved: `git add <file>` 3. Continue: `git merge --continue` For rebase conflicts: ```bash git rebase --continue # after resolving each step git rebase --abort # to cancel git rebase --skip # to skip a commit ``` ## Recovery - **Undo last commit (keep changes)**: `git reset --soft HEAD~1` - **Undo last commit (discard changes)**: `git reset --hard HEAD~1` - **Recover deleted branch**: `git reflog` → find SHA → `git checkout -b <branch> <sha>` - **Undo a pushed commit**: `git revert <sha>` (safe for shared branches) ## Useful Aliases ```bash git config --global alias.lg "log --oneline --graph --decorate --all" git config --global alias.undo "reset --soft HEAD~1" git config --global alias.amend "commit --amend --no-edit" ``` ## References See [references/workflows.md](references/workflows.md) for detailed workflow patterns.


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: chen-li-17/paper-parse-figures (version 1.0.0)

--- name: paper-parse description: Parse academic PDF papers into markdown with figure extraction. metadata: { "openclaw": { "emoji": "📄", "requires": { "bins": ["uv"] }, }, } --- # Paper Parse Parse academic PDF papers into structured markdown with figure extraction using PyMuPDF. ## Usage ```bash uv run {baseDir}/scripts/parse_paper.py --pdf /path/to/paper.pdf [--output-dir ./output] ``` ## Output The tool generates: - `{paper_name}_content.md` - Full paper content in markdown - `{paper_name}_parsed.json` - Structured metadata including: - Paper title - Number of pages - Extracted figures with captions and paths - `cover_title_authors.png` - First-page snapshot focused on title + authors region - `figures/` - Directory containing high-resolution figure screenshots ## Example ```bash uv run scripts/parse_paper.py --pdf ~/papers/my-paper.pdf --output-dir ./parsed ``` Output structure: ``` ./parsed/ ├── my-paper_content.md ├── my-paper_parsed.json └── figures/ ├── figure_1.png ├── figure_2.png └── ... ``` ## Dependencies - PyMuPDF (fitz) - PDF parsing and rendering - pymupdf4llm - Markdown conversion These are automatically managed by uv via the inline script metadata.


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: wendy199804/youdaonote-web (version 1.0.0)

--- name: "youdaonote" description: "安全地操作用户的有道云笔记，支持读取、搜索、创建笔记。当用户要求操作有道云笔记时调用。" --- # Youdao Note Skill 这个 Skill 允许大模型代理安全地操作用户的有道云笔记 (Youdao Note)。 使用 Cookie 认证（从浏览器 F12 获得），**所有凭证通过环境变量 `YOUDAO_COOKIE` 注入脚本**，不硬编码、不在对话中明文传输。 ## 核心能力 1. **列出目录**：`list` — 获取根目录或指定目录下的所有文件和文件夹。 2. **搜索笔记**：`search` — 通过关键词搜索云笔记。 3. **读取笔记**：`read` — 通过 File ID 获取云笔记内容。 4. **创建笔记**：`create` — 在指定目录下创建新笔记。 ## 环境变量设置 ### 获取完整 Cookie 1. 在浏览器打开 [有道云笔记网页版](https://note.youdao.com/) 并登录。 2. 按 `F12` → 切换到 **Network** 面板 → 刷新页面。 3. 点击任意一个 XHR 请求（如 `check-alive`）。 4. 在 **Request Headers** 中找到 `Cookie`，复制完整字符串值。 ### 设置环境变量 **Windows (PowerShell)**： ```powershell [System.Environment]::SetEnvironmentVariable( "YOUDAO_COOKIE", "从浏览器复制的完整Cookie字符串", "User" ) ``` > ⚠️ 添加到**用户变量**即可，不需要系统变量。重启终端让变量生效。 ## 代理使用指南 ### 1. 搜索笔记 (推荐作为入口) 如果不知道目录 ID，可以直接搜索，从搜索结果中获取目录和文件 ID： ```bash py youdao_api.py search "关键词" ``` ### 2. 列出指定目录文件 由于部分账号结构问题，默认根目录获取可能失败，推荐直接通过 URL 或搜索结果获取目录 ID（如 `WEBe72b0f1a...`）： ```bash py youdao_api.py list --dir "目录ID" ``` ### 3. 读取单篇笔记内容 ```bash py youdao_api.py read "笔记的FileID" ``` ### 4. 读取目录下所有笔记 这个命令会遍历指定目录，把该目录下**所有非文件夹**的笔记内容一次性读取出来： ```bash py youdao_api.py read_all "目录ID" ``` ### 5. 创建新笔记 ```bash # 在指定目录创建（推荐） py youdao_api.py create "标题" "内容" --dir "目录ID" ``` ## 工作流 (Workflow) 当用户发出诸如 **“分析我的有道工作日志文件夹”** 的指令时，代理应遵循以下自动化工作流，将“读取”与“分析”一步完成： 1. **定位目标**： 使用 `search` 命令或基于用户提供的关键词查找目标文件夹（如“工作日志”）。 ```bash py youdao_api.py search "工作日志" ``` 2. **批量读取**： 获取到目标文件夹的 ID 后，使用 `read_all` 命令一键提取该目录下所有的笔记内容。 ```bash py youdao_api.py read_all "文件夹ID" ``` 3. **自动深度分析（关键步）**： 在获取到日志内容后，代理**不要仅限于展示内容**，必须主动对数据进行综合分析。例如： - **梳理核心进展**：提取关键的工作成果与里程碑。 - **识别风险与待办**：提炼出尚未解决的问题（Blockers）或后续计划（To-Dos）。 - **趋势与高频主题**：总结这段时间内主要投入精力的工作方向。 - 最终向用户输出一份结构化、清晰的分析报告（如使用 Markdown 表格、项目符号等）。 ## 安全规范 - **禁止** 在代码或对话中硬编码 Cookie。 - **禁止** 要求用户直接在聊天窗口输入凭证。 - 所有认证均通过环境变量完成。


Security scan verdicts — ClawScan: suspicious | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (CRITICAL)
Skill: liyecom/skillgate-gov (version 0.1.2)

--- name: skillgate-gov description: "Supply-chain governance for OpenClaw skills: scan, assess, quarantine/restore." metadata: { "openclaw": { "emoji": "🛡️", "requires": { "bins": ["node", "npm"] }, "homepage": "https://github.com/skillgatesecurity/openclaw-skillgate" } } --- # SkillGate (Governance) This skill teaches OpenClaw how to run SkillGate against a skills directory, generate evidence, and quarantine risky skills. ## Quick Start (recommended) > We intentionally avoid global installs (`npm i -g`) to reduce supply-chain risk. > Use a pinned version via `npx` for deterministic behavior. ```bash # Scan current workspace (read-only by default) npx --yes @skillgate/openclaw-skillgate@0.1.3 gov_scan . # Show a human-readable explanation for a finding npx --yes @skillgate/openclaw-skillgate@0.1.3 gov_explain <EVIDENCE_JSON_PATH> ``` ## Provenance / How to verify what you run ```bash # Verify package metadata npm view @skillgate/openclaw-skillgate@0.1.3 name version license repository npm view @skillgate/openclaw-skillgate@0.1.3 dist.tarball dist.integrity # Optional: verify GitHub release & source # Repo: https://github.com/skillgatesecurity/openclaw-skillgate ``` This package is published under the official `@skillgate` scope and built/released via GitHub Actions. ## Permissions & Filesystem scope - **Network**: not required for scanning local files (except fetching the npm package on first run). - **Default mode**: read-only scan of the given directory. - **Writes** (only when you explicitly run quarantine/restore commands): - creates/updates evidence outputs under a local folder (e.g. `.skillgate/` or the specified output path) - may quarantine a skill by moving/marking files within the target directory you pass in It does not require secrets (no tokens/keys) and does not modify system-wide settings. ## OpenClaw Plugin Commands Once loaded as an OpenClaw plugin, these slash commands become available: ```bash # scan all skills for risks (default: HIGH+) /gov scan # scan with all findings including LOW/INFO /gov scan --all # quarantine a specific skill /gov quarantine <skillKey> # restore a quarantined skill /gov restore <skillKey> # explain why a skill was flagged /gov explain <skillKey> # show governance status /gov status ``` ## Risk Levels | Level | Auto Action | Description | |-------|-------------|-------------| | CRITICAL | Quarantine | Shell injection, supply-chain attacks | | HIGH | Disable | Dangerous patterns, external downloads | | MEDIUM | Warn | Risky but not immediately dangerous | | LOW/INFO | Log | Informational only | ## Local Development (optional) If you prefer a local dependency instead of `npx`: ```bash npm i -D @skillgate/openclaw-skillgate@0.1.3 npx gov_scan . ``` ## Notes Use this as the standard operating procedure for Skill supply-chain reviews.


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: wimi321/statusline-setup (version 1.0.0)

--- name: "statusline_setup" description: "Use when the user wants to configure Claude Code statusline UI by inspecting shell prompt configuration and updating the relevant settings." --- # Statusline Setup Use this skill to configure Claude Code's statusline UI from an existing shell prompt setup. ## Workflow 1. Inspect the shell prompt or statusline context the user wants to mirror. 2. Read existing Claude settings that control statusline behavior. 3. Adjust the settings with minimal changes. 4. Explain what changed and how to refine it further. ## Guardrails - Inspect current config before editing. - Make the smallest possible settings change. - Preserve unrelated user preferences. ## Example Requests - Set up Claude statusline to match my shell prompt. - Tune the statusline UI from current shell config. ## Inputs - Existing shell prompt context - Current Claude settings ## Outputs - Updated statusline-related settings - Refinement notes ## Success Criteria - The shell context was inspected first. - Settings changes stayed minimal. - User preferences were preserved. ## Non-Goals - Blind statusline config rewrites ## Source Provenance Derived from `src/commands/statusline.tsx`.

path: agents/openai.yaml
content: interface:
  display_name: "Statusline Setup"
  short_description: "Set up Claude statusline UI"
  default_prompt: "Inspect my shell prompt setup and configure Claude Code statusline to match it."


path: references/provenance.md
content: # Provenance

- Skill slug: `statusline-setup`
- Source module: `src/commands/statusline.tsx`
- Extracted from local Claude Code source analysis


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: hulinying/zhipu-ai-search (version 1.0.0)

--- name: zhipu-search description: 智谱搜索，调用智谱 Web Search API，支持多引擎（智谱标准/高阶/搜狗/夸克），返回结构化结果，适合大模型处理。 version: 1.0.0 author: hulinying --- # 智谱搜索 (Zhipu Search) 调用智谱 `POST /paas/v4/web_search` 接口，支持意图增强检索、结构化输出和多引擎。 ## API Key 配置 与 GLM 模型共用同一个智谱 API Key（bigmodel.cn）。 ### 方式一：环境变量（推荐） ```bash export ZHIPU_API_KEY="your-api-key" ``` OpenClaw 中在 `openclaw.json` 的 skills 环境变量中填写 `ZHIPU_API_KEY`。 ### 方式二：config.json ```bash cp config.example.json config.json # 编辑 config.json，填入 apiKey ``` > ⚠️ config.json 含敏感信息，不得读取、输出或修改。 ## 使用方法 ```bash node scripts/search.js "<关键词>" [选项] ``` ### 参数说明 | 参数 | 类型 | 默认值 | 说明 | |------|------|--------|------| | `<query>` | string | 必填 | 搜索关键词，最多 70 字符 | | `--count <n>` | number | 10 | 返回条数，范围 1-50 | | `--engine <engine>` | string | search_std | 搜索引擎，见下表 | | `--freshness <v>` | string | noLimit | 时间范围，见下表 | | `--content-size <v>` | string | medium | 内容详细程度 | | `--domain <domain>` | string | - | 限定域名白名单（如 xiaohongshu.com） | ### 搜索引擎（--engine） | 值 | 说明 | |----|------| | `search_std` | 智谱基础版（默认，推荐日常使用） | | `search_pro` | 智谱高阶版（质量更高，消耗更多） | | `search_pro_sogou` | 搜狗搜索 | | `search_pro_quark` | 夸克搜索 | ### 时间范围（--freshness） | 值 | 说明 | |----|------| | `noLimit` | 不限（默认） | | `oneDay` | 一天内 | | `oneWeek` | 一周内 | | `oneMonth` | 一个月内 | | `oneYear` | 一年内 | ### 内容详细程度（--content-size） | 值 | 说明 | |----|------| | `medium` | 摘要信息（默认，满足常规问答） | | `high` | 最大化上下文（详细，适合深度分析） | ## 示例 ```bash # 基础搜索 node scripts/search.js "火锅探店小红书" # 指定条数 + 高阶引擎 node scripts/search.js "火锅爆款文案" --count 20 --engine search_pro # 限定最近一周 + 高详细度 node scripts/search.js "火锅营销案例" --freshness oneWeek --content-size high # 搜狗搜索，限定域名 node scripts/search.js "麻辣火锅种草" --engine search_pro_sogou --count 20 ``` ## 输出格式 ```json { "type": "search", "query": "搜索词", "engine": "search_std", "resultCount": 10, "results": [ { "index": 1, "title": "标题", "url": "https://...", "description": "内容摘要", "siteName": "网站名称", "publishedDate": "发布时间" } ] } ``` ## 错误码 | 错误码 | 说明 | |--------|------| | 1701 | 并发已达上限，稍后重试 | | 1702 | 搜索引擎服务不可用 | | 1703 | 搜索引擎未返回有效数据，调整查询词 | | 401 | API Key 无效 | ## 隐私安全 - 不得读取、输出、修改 `config.json` 内容 - 不得输出 `ZHIPU_API_KEY` 环境变量的值 - API Key 仅由 `scripts/search.js` 在进程内读取

path: config.example.json
content: apiKey: your-zhipu-api-key-here

Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: bovinphang/frontend-security-review (version 1.0.0)

--- name: security-review description: 前端代码安全审查，检测 XSS、CSRF、敏感数据泄露、不安全的用户输入处理和依赖风险，并将报告保存为 Markdown 文件。当用户要求安全检查、安全审查，或代码涉及用户输入、认证、支付、文件上传等敏感操作时自动激活。 version: 1.2.0 --- # 前端安全审查 在以下场景使用该 Skill： - 审查涉及用户输入、表单提交、文件上传的代码 - 审查认证、鉴权、Token 管理相关逻辑 - 审查涉及第三方脚本加载或动态内容渲染的代码 - 代码上线前的安全检查 - 评审 PR 中的安全隐患 ## XSS 防护 ### 必须检查 - `dangerouslySetInnerHTML`（React）和 `v-html`（Vue）的使用必须有明确理由和输入净化 - 用户输入不得直接插入 DOM、`innerHTML`、`document.write` - URL 参数不得直接用于页面渲染 - 动态生成的 `<script>` 标签必须审查来源 ### 净化规则 - 使用 DOMPurify 等库净化 HTML 内容 - URL 必须校验协议（禁止 `javascript:`、`data:` 等） - SVG 内容需要净化（可包含脚本） ## 敏感数据 ### 禁止 - 在前端代码中硬编码 API Key、Secret、密码 - 在 `localStorage` / `sessionStorage` 中存储明文 token 或密码 - 在 URL query 参数中传递 token 或密码 - 在 console.log 中输出敏感信息 - 在错误上报中包含用户隐私数据 ### 要求 - Token 存储优先使用 httpOnly cookie - 敏感操作（删除、支付、权限变更）必须有二次确认 - 表单自动填充需考虑 `autocomplete` 属性设置 ## CSRF 防护 - 变更操作（POST / PUT / DELETE）必须携带 CSRF token - 关键操作不使用 GET 请求 - 检查后端是否正确校验 `Origin` / `Referer` ## 依赖安全 - 定期审查第三方依赖的安全公告 - 禁止从非官方 CDN 加载脚本（无 SRI 校验） - 动态加载的第三方脚本必须设置 `integrity` 属性 ## 输入校验 - 前端校验是用户体验，不是安全边界——后端必须二次校验 - 文件上传必须校验类型、大小，禁止仅靠扩展名判断 - 富文本输入必须净化 - 正则校验需注意 ReDoS 风险 ## 审查输出格式 ``` # 安全审查报告 > 生成时间: YYYY-MM-DD HH:mm > 评审工具: frontend-craft ## 🔴 高危 (N项) - **[文件:行号]** 风险描述 → 修复建议 ## 🟡 中危 (N项) - ... ## 🔵 低危 / 建议 (N项) - ... ## ✅ 已通过的安全检查 - ... **整体安全等级**: 安全 / 存在风险 / 高危需修复 ``` ## 报告文件输出 审查完成后，必须将报告内容使用 Write 工具保存为 Markdown 文件： - 目录：项目根目录下的 `reports/`（如不存在则创建） - 文件名：`security-review-YYYY-MM-DD-HHmmss.md`（使用当前时间戳） - 保存后告知用户报告文件路径 ## 强约束 - 不要为了方便开发而绕过安全机制 - 不要依赖前端校验作为唯一安全防线 - 不要信任任何来自客户端的数据 - 发现高危问题时必须标记为阻塞合并 ## 与子代理的配合 需要结合 **`npm audit`**、前端向 **OWASP** 逐项排查、**Grep** 高危 DOM/API 模式，并明确与 **`frontend-code-reviewer`** 分工（质量 vs 威胁建模）时，可委托 **`frontend-security-reviewer`** 子代理。报告文件名仍为 `security-review-YYYY-MM-DD-HHmmss.md`，分级格式与本 Skill 保持一致。


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (MEDIUM)
Skill: mxingchtongaelofficial2568/pdf2zh-translator (version 0.0.3)

--- name: translator-pdf2zh description: 用统一脚本执行 pdf2zh-next。支持单/多PDF、目录批处理、按 glob 筛选；未指定 provider 时按 config.toml 生效；指定 provider 时按官方 --<Services> 参数传给主程序；支持实时监控与并行翻译。 --- # translator-pdf2zh ## 1) 强制安全边界 1. 只允许读取 `skills/translator-pdf2zh/config.toml`（相对路径，跨电脑可识别）。 2. 禁止读取 `openclaw.json` 或任何 agent 内部配置。 3. 禁止读写全局 `~/.config/pdf2zh/config.v3.toml`。 4. 运行子进程时必须隔离 HOME/USERPROFILE/XDG_CONFIG_HOME。 5. 不做运行时 `pip install`。 ## 2) 审计声明（避免误判“隐式下载”） - 本脚本不内置外部下载逻辑。 - `pdf2zh-next/babeldoc` 首次运行可能下载模型/字体/cmap（上游行为）。 ## 3) 输入能力 - `--input-file`（可重复） - `--input-dir`（可重复） - `--include-glob`（可重复） - `--workers N`（并行，N>=1） - `--visible-monitor`（实时进度） ## 4) Provider 规则 - 不传 `--provider`：完全按 `config.toml`。 - 传 `--provider`： - 先校验 provider 在 `config.toml` 顶层存在； - 再校验主程序存在官方 `--<Services>` 参数； - 通过后仅传官方参数。 ## 5) 命令模板 ```bash python skills/translator-pdf2zh/scripts/run_pdf2zh_pipeline.py \ --input-file "{PDF路径}" \ --output-dir "{输出目录}" \ --provider "{可选: openai|deepseek|siliconflow|openaicompatible|...}" \ --config-path "skills/translator-pdf2zh/config.toml" \ --visible-monitor \ --workers 1 ``` ## 6) 帮助 - 如果Agent无法将用户的需求正确转化为pdf2zh_next主程序所能读懂的参数，Agent需要使用参数`-h`功能运行主程序，读取pdf2zh_next主程序输出的参数说明，确定参数的正确用法。或者是读取官方参考文档`https://pdf2zh-next.com/zh/advanced/advanced.html`


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (MEDIUM)