中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：4 小时前 重新扫描
5 /100
zwds-openclaw
紫微斗数排盘与解盘技能
纯本地紫微斗数排盘工具，仅使用官方 iztro npm 包，无网络外传行为，无凭证访问，无代码注入风险。
技能名称zwds-openclaw
分析耗时39.4s
引擎pi
ClawHub 紫微斗数排盘解盘 v1.0.0 by luyao-inc
📥 15
ClawHub 判定 可疑 dangerous_exec
✓
可以安装
可直接使用。建议关注 npm 依赖的官方更新以获取最新功能。
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 zwds-cli/src/longitudeLookup.js:18 仅读取本地 data/longitudes.json
网络访问 NONE NONE — SKILL.md 明确禁止外部 API，所有数据来自内置 JSON
命令执行 WRITE WRITE ✓ 一致 SKILL.md:47 声明通过 shell 调用 node 命令
5 项发现
🔗
中危 外部 URL 外部 URL
https://iztro.com/quick-start.html
SKILL.md:57
🔗
中危 外部 URL 外部 URL
https://locize.com
zwds-cli/package-lock.json:40
🔗
中危 外部 URL 外部 URL
https://locize.com/i18next.html
zwds-cli/package-lock.json:44
🔗
中危 外部 URL 外部 URL
https://www.i18next.com/how-to/faq#i18next-is-awesome.-how-can-i-support-the-project
zwds-cli/package-lock.json:48
🔗
中危 外部 URL 外部 URL
https://geo.datav.aliyun.com/areas_v3/bound/$
zwds-cli/scripts/build-longitudes.mjs:85

目录结构

19 文件 · 167.9 KB · 5725 行
JSON 7f · 4533L JavaScript 8f · 791L Markdown 4f · 401L
├─ ▾ 📁 zwds-cli
│ ├─ ▾ 📁 data
│ │ └─ 📋 longitudes.json JSON 2403L · 36.7 KB
│ ├─ ▾ 📁 examples
│ │ └─ 📋 sample-payload.json JSON 1L · 79 B
│ ├─ ▾ 📁 scripts
│ │ ├─ 📜 build-longitudes.mjs JavaScript 188L · 5.5 KB
│ │ └─ 📜 save-fixture.mjs JavaScript 83L · 2.5 KB
│ ├─ ▾ 📁 src
│ │ ├─ 📜 index.js JavaScript 57L · 1.5 KB
│ │ ├─ 📜 iztroClient.js JavaScript 222L · 6.6 KB
│ │ ├─ 📜 longitudeLookup.js JavaScript 69L · 1.9 KB
│ │ ├─ 📜 solarTime.js JavaScript 72L · 2.3 KB
│ │ └─ 📜 timeIndex.js JavaScript 25L · 802 B
│ ├─ ▾ 📁 test
│ │ └─ 📜 golden.test.js JavaScript 75L · 2.5 KB
│ ├─ 📋 _cities2.json JSON 1L · 19.1 KB
│ ├─ 📋 _city_raw.json JSON 2023L · 32.0 KB
│ ├─ 📋 _nb.json JSON 1L · 33.4 KB
│ ├─ 📋 package-lock.json JSON 84L · 2.7 KB
│ ├─ 📋 package.json JSON 20L · 551 B
│ └─ 📝 README.md Markdown 72L · 2.5 KB
├─ 📝 examples.md Markdown 90L · 4.1 KB
├─ 📝 reference.md Markdown 56L · 3.0 KB
└─ 📝 SKILL.md Markdown 183L · 10.3 KB

依赖分析 1 项

包名版本来源已知漏洞备注
iztro 2.5.0 npm 否 版本已锁定，官方 npm 包

安全亮点

✓ SKILL.md 明确禁止外部 API 调用，强制使用内置经度数据
✓ 依赖锁定版本：[email protected]，避免供应链攻击
✓ 无敏感路径访问（无 ~/.ssh、~/.aws、.env 等）
✓ 无凭证收割、环境变量遍历或数据外传行为
✓ 无代码混淆、eval、base64 解码等可疑模式
✓ 纯本地计算工具，输入仅限 JSON，不执行用户提供的代码