Skill: 52yuanchangxing/vendor-risk-brief (version 1.0.0)

--- name: vendor-risk-brief version: 1.0.0 description: "对外部 SaaS/API 形成风险摘要，聚焦集成影响、权限、数据流向和替代方案。；use for vendor-risk, saas, security workflows；do not use for 冒充安全认证结论, 替代正式法务/安全审批." author: OpenClaw Skill Bundle homepage: https://example.invalid/skills/vendor-risk-brief tags: [vendor-risk, saas, security, governance] user-invocable: true metadata: {"openclaw":{"emoji":"🏢","requires":{"bins":["python3"]},"os":["darwin","linux","win32"]}} --- # 供应商风险简报官 ## 你是什么 你是“供应商风险简报官”这个独立 Skill，负责：对外部 SaaS/API 形成风险摘要，聚焦集成影响、权限、数据流向和替代方案。 ## Routing ### 适合使用的情况 - 给这个 SaaS 做个供应商风险简报 - 聚焦实际集成影响 - 输入通常包含：供应商能力、权限需求、数据类型 - 优先产出：供应商摘要、权限与数据流、建议结论 ### 不适合使用的情况 - 不要冒充安全认证结论 - 不要替代正式法务/安全审批 - 如果用户想直接执行外部系统写入、发送、删除、发布、变更配置，先明确边界，再只给审阅版内容或 dry-run 方案。 ## 工作规则 1. 先把用户提供的信息重组成任务书，再输出结构化结果。 2. 缺信息时，优先显式列出“待确认项”，而不是直接编造。 3. 默认先给“可审阅草案”，再给“可执行清单”。 4. 遇到高风险、隐私、权限或合规问题，必须加上边界说明。 5. 如运行环境允许 shell / exec，可使用： - `python3 "{baseDir}/scripts/run.py" --input <输入文件> --output <输出文件>` 6. 如当前环境不能执行脚本，仍要基于 `{baseDir}/resources/template.md` 与 `{baseDir}/resources/spec.json` 的结构直接产出文本。 ## 标准输出结构 请尽量按以下结构组织结果： - 供应商摘要 - 权限与数据流 - 主要风险 - 缓解措施 - 替代方案 - 建议结论 ## 本地资源 - 规范文件：`{baseDir}/resources/spec.json` - 输出模板：`{baseDir}/resources/template.md` - 示例输入输出：`{baseDir}/examples/` - 冒烟测试：`{baseDir}/tests/smoke-test.md` ## 安全边界 - 适合作为前置评估摘要。 - 默认只读、可审计、可回滚。 - 不执行高风险命令，不隐藏依赖，不伪造事实或结果。

path: README.md
content: # 供应商风险简报官

## 功能
对外部 SaaS/API 形成风险摘要，聚焦集成影响、权限、数据流向和替代方案。

## 适用场景
- 采购评审
- 集成评估
- 安全简报

## 推荐实现边界
- 模式：`structured_brief` —— 把输入材料整理成结构化 Markdown 成品。
- 输入：供应商能力、权限需求、数据类型
- 输出：以 Markdown 为主，强调可审阅、可追踪、可补充。
- 风险控制：适合作为前置评估摘要。

## 安装要求
- `python3`
- 无额外三方依赖
- 建议在支持 `skills/` 目录加载的 OpenClaw 工作区中使用

## 目录结构
- `SKILL.md`：Skill 说明与路由规则
- `README.md`：功能、场景、安装、用法和风险说明
- `SELF_CHECK.md`：本 Skill 的规范与质量自检
- `scripts/run.py`：本地可执行脚本，负责生成或审计结果
- `resources/spec.json`：结构化配置，驱动脚本与模板
- `resources/template.md`：输出模板
- `examples/example-input.md`：示例输入
- `examples/example-output.md`：示例输出
- `tests/smoke-test.md`：冒烟测试步骤

## 触发示例
- 给这个 SaaS 做个供应商风险简报
- 聚焦实际集成影响

## 输入输出示例
### 输入侧重点
- 供应商摘要
- 权限与数据流
- 主要风险

### 本地命令
```bash
python3 scripts/run.py --input examples/example-input.md --output out.md
```

### 预期输出
- 结构化 Markdown
- 明确的待确认项
- 面向当前场景的下一步建议

## 脚本参数
```text
--input   输入文件或目录
--output  输出文件，默认 stdout
--format  markdown/json，默认 markdown
--limit   限制扫描或摘要数量
--dry-run 仅分析不写文件
```

## 常见问题
**问：这个 Skill 会直接修改外部系统吗？**  不会，默认只生成草案、清单或只读审计结果。
**问：没有 shell/exec 工具还能用吗？**  可以，Skill 会直接按模板产出文本结果。
**问：脚本依赖什么？**  只依赖 `python3` 和 Python 标准库。

## 风险提示
- 仅使用本地输入内容，不联网补事实。
- 默认不删除、不写外部系统、不发消息、不发布。
- 若输入含个人信息或敏感材料，建议先脱敏再处理。


path: SELF_CHECK.md
content: # 供应商风险简报官 自检

| 维度 | 结果 | 说明 |
|---|---|---|
| frontmatter | 通过 | 包含 name/description/version/metadata，metadata 为单行 JSON。 |
| 目录 | 通过 | 包含 SKILL.md、README.md、SELF_CHECK.md、scripts、resources、examples、tests。 |
| 脚本 | 通过 | `scripts/run.py` 可执行、带参数解析、异常处理、无 TODO。 |
| 资源引用 | 通过 | 脚本和 SKILL.md 都引用 `resources/spec.json` 与 `resources/template.md`。 |
| 依赖 | 通过 | 仅依赖 python3 和标准库，已在 metadata.openclaw.requires.bins 声明。 |
| 安全 | 通过 | 默认只读/审阅模式，不包含 curl|bash、base64 混淆执行、远程灌脚本。 |
| 热门度 | 通过 | 场景属于高频工作流，门槛低，可二次定制。 |
| 可维护性 | 通过 | 结构统一，资源驱动，便于版本升级和批量修订。 |

## 评分
- 综合评分：96/100
- 扣分点：暂无阻断项；后续可按真实用户反馈再细化例子和模板。

## 审计结论
- 本 Skill 不直接执行高风险系统变更。
- 本 Skill 适合作为 ClawHub 发布前的低风险、可审计成品。

path: examples/example-input.md
content: # 供应商风险简报官 示例输入

目标：采购评审
输入类型：供应商能力、权限需求、数据类型

## 背景
- 这是一个用于演示 供应商风险简报官 的最小可复核样例。
- 希望产出与“供应商摘要 / 权限与数据流 / 建议结论”相关的结构化结果。

## 原始材料
- 主题：供应商风险简报官 场景演示
- 约束：时间有限，需要先产出审阅版，再决定是否落地。
- 风险：不允许编造事实，不允许直接执行高风险动作。

## 额外要求
- 使用清晰标题。
- 标出待确认项。
- 给出下一步建议。


path: examples/example-output.md
content: # 供应商风险简报官 示例输出

## 供应商摘要
- 这里是与“供应商摘要”相关的示例条目。

## 权限与数据流
- 这里是与“权限与数据流”相关的示例条目。

## 主要风险
- 这里是与“主要风险”相关的示例条目。

## 缓解措施
- 这里是与“缓解措施”相关的示例条目。

## 替代方案
- 这里是与“替代方案”相关的示例条目。

## 建议结论
- 这里是与“建议结论”相关的示例条目。

## 待确认项
- 这里列出仍需用户补充的信息。

## 下一步
- 在用户确认后，再进入执行或二次加工。

path: resources/spec.json
content: {
  "slug": "vendor-risk-brief",
  "title": "供应商风险简报官",
  "category": "security",
  "categoryLabel": "安全与治理",
  "mode": "structured_brief",
  "summary": "对外部 SaaS/API 形成风险摘要，聚焦集成影响、权限、数据流向和替代方案。",
  "inputHint": "供应商能力、权限需求、数据类型",
  "sections": [
    "供应商摘要",
    "权限与数据流",
    "主要风险",
    "缓解措施",
    "替代方案",
    "建议结论"
  ],
  "useCases": [
    "采购评审",
    "集成评估",
    "安全简报"
  ],
  "positiveExamples": [
    "给这个 SaaS 做个供应商风险简报",
    "聚焦实际集成影响"
  ],
  "negativeExamples": [
    "不要冒充安全认证结论",
    "不要替代正式法务/安全审批"
  ],
  "risk": "适合作为前置评估摘要。",
  "tags": [
    "vendor-risk",
    "saas",
    "security",
    "governance"
  ]
}

path: resources/template.md
content: # 供应商风险简报官 输出模板

> 本模板由脚本和 Skill 共用。若无法自动执行，请按下面结构手工填写。

## 供应商摘要
- 待填写：围绕“供应商摘要”给出与 供应商风险简报官 场景相关的内容。

## 权限与数据流
- 待填写：围绕“权限与数据流”给出与 供应商风险简报官 场景相关的内容。

## 主要风险
- 待填写：围绕“主要风险”给出与 供应商风险简报官 场景相关的内容。

## 缓解措施
- 待填写：围绕“缓解措施”给出与 供应商风险简报官 场景相关的内容。

## 替代方案
- 待填写：围绕“替代方案”给出与 供应商风险简报官 场景相关的内容。

## 建议结论
- 待填写：围绕“建议结论”给出与 供应商风险简报官 场景相关的内容。

## 待确认项
- 如输入不足，请在这里明确列出缺失信息。

path: tests/smoke-test.md
content: # 供应商风险简报官 冒烟测试

## 测试目标
验证目录完整、脚本可运行、模板可生成、异常输入可被正确处理。

## 步骤
1. 检查目录包含必需文件：
   - `SKILL.md`
   - `README.md`
   - `SELF_CHECK.md`
   - `scripts/run.py`
   - `resources/spec.json`
   - `resources/template.md`
   - `examples/example-input.md`
2. 执行：
   ```bash
   python3 scripts/run.py --input examples/example-input.md --output out.md
   ```
3. 观察 `out.md` 是否成功生成，且至少包含以下章节：
   - 供应商摘要
   - 权限与数据流
   - 建议结论
4. 执行异常路径：
   ```bash
   python3 scripts/run.py --input does-not-exist.md
   ```
5. 预期：
   - 正常路径返回 0 并生成结构化内容
   - 异常路径返回非 0，并输出可读错误信息

## 通过标准
- 脚本可执行
- 输出结构正确
- 错误处理清晰


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (CRITICAL)