carapi 安全扫描报告 — 可信 | ClawSafe

5 /100

carapi

CarAPI integration. Manage data, records, and automate workflows.

纯文档型技能，仅声明 CarAPI 集成功能，无脚本代码，无可疑行为。

技能名称carapi

分析耗时22.8s

引擎pi

✓

可以安装

可安全使用。

安全发现 1 项

严重性	安全发现	位置
低危	权限声明与实际能力存在轻微差异 SKILL.md 仅声明 'network access'，但实际使用 npm install 和 membrane CLI 隐含需要 shell 和文件系统权限。这是 API 集成工具的标准需求，不构成安全威胁。 `compatibility: Requires network access` → 建议在 compatibility 字段补充 'shell access for CLI' 和 'filesystem for npm global install'	`SKILL.md:1`

资源类型	声明权限	推断权限	状态	证据
文件系统	`NONE`	`READ`	✓ 一致	SKILL.md:1 - npm install -g 需文件系统写入权限，但未声明
网络访问	`WRITE`	`WRITE`	✓ 一致	SKILL.md:1 声明需要 network access
命令执行	`NONE`	`WRITE`	✓ 一致	SKILL.md:40-65 使用 membrane CLI 命令隐含 shell 执行

2 项发现

🔗

中危外部 URL 外部 URL

https://getmembrane.com

SKILL.md:7

🔗

中危外部 URL 外部 URL

https://developer.nrel.gov/docs/transportation/jpat-v1/

SKILL.md:19

1 文件 · 4.4 KB · 125 行

Markdown 1f · 125L

└─ 📝 SKILL.md Markdown 125L · 4.4 KB

✓ 纯文档型技能，无脚本代码，无法执行任意命令

✓ 使用官方 Membrane CLI，凭证由平台管理不外泄

✓ 文档规范，包含最佳实践和安全建议

✓ 无隐藏功能，声明与内容一致

✓ 无外部依赖声明风险