中文 EN
Start Review
Skill Trust Decision

tongcheng-travel-assistant

同程旅行助手功能正常，凭证硬编码用于API调用但未外泄用户数据，第三方依赖缺乏版本锁定存在供应链风险。

Install decision first Source: ClawHub Scanned: Sep 14, 2026
Files 4
Artifacts 1
Violations 0
Findings 3

Why this conclusion was reached

0/4 dimensions flagged
Pass
Declared vs actual capability

Declared resources and inferred behavior are broadly aligned.

Review
Hidden execution and egress

1 lower-risk artifacts were extracted and still need context.

Pass
Attack chain and severe findings

There is no explicit malicious chain in the report.

Pass
Dependencies and supply chain hygiene

Dependencies are present but no obvious high-risk issue stands out.

What drove the risk score up

凭证硬编码 +10

PROXY_TOKEN硬编码在源码中，但用于合法API调用场景

第三方依赖无版本锁定 +8

无requirements.txt，urllib为标准库但整体缺少依赖管理

外部URL数据流向声明不透明 +4

SKILL.md声明'代理不存储数据'但无法验证

Most important evidence

Low Supply Chain

第三方依赖无版本锁定

代码使用标准库urllib但无requirements.txt，缺少依赖版本管理，无法保证构建一致性

tongcheng_travel.py:1
建议添加requirements.txt明确依赖版本
Low Doc Mismatch

凭证声明与实际不符

SKILL.md声明'自动配置，无需手动设置'但PROXY_TOKEN硬编码在源码中，虽为合法API Token但应透明声明

tongcheng_travel.py:13
建议在文档中说明凭证为内置或提供环境变量覆盖机制
Low Data Exfil

外部代理数据政策不透明

SKILL.md声明'代理不存储用户数据'但无法验证，用户查询数据发送到腾讯云SCF服务器

tongcheng_travel.py:12
建议提供代理服务的数据处理隐私政策链接

Declared capability vs actual capability

Network Pass
Declared READ
→
Inferred READ
tongcheng_travel.py:12-32 _call_proxy函数通过urllib.request发送POST请求
Filesystem Pass
Declared NONE
→
Inferred NONE
无文件读写操作
Shell Pass
Declared NONE
→
Inferred NONE
无subprocess或system调用
Environment Pass
Declared READ
→
Inferred READ
SKILL.md声明TONGCHENG_PROXY_URL和PROXY_TOKEN，但实际为硬编码

Suspicious artifacts and egress

Medium External URL
https://1439498936-7vqpkiipef.ap-guangzhou.tencentscf.com

tongcheng_travel.py:12

Dependencies and supply chain

PackageVersionSourceKnown vulnNotes
json 内置 Python标准库 No 标准库无需外部依赖
urllib 内置 Python标准库 No 标准库

File composition

4 files · 485 lines
Python 1 files · 312 linesMarkdown 1 files · 167 linesJSON 1 files · 5 linesOther 1 files · 1 lines
Files of concern · 1
tongcheng_travel.py Python · 312 lines
第三方依赖无版本锁定 · 凭证声明与实际不符 · 外部代理数据政策不透明 · https://1439498936-7vqpkiipef.ap-guangzhou.tencentscf.com
Other files · SKILL.md · _meta.json · version

Security positives

代码结构清晰，无混淆或可疑编码
无eval/exec等危险函数
无环境变量遍历收割凭证
无文件系统或shell敏感操作
功能实现与文档描述基本一致