baidu-finance-search Security Report — Trusted | ClawSafe

5 /100

baidu-finance-search

百度财经搜索 skill，基于超哥方法论定制，支持雪球/知乎/东方财富/同花顺等站点的财经舆情搜索

百度财经搜索工具，代码实现与 SKILL.md 声明完全一致，仅使用标准库调用百度千帆 API 进行财经搜索，无恶意行为。

Skill Namebaidu-finance-search

Duration35.0s

Enginepi

✓

Safe to install

该 skill 可安全使用。如需提升安全性，可考虑移除 SSL 验证禁用（lines 148-150），使用默认 SSL 验证。

Findings 1 items

Severity	Finding	Location
Low	SSL 证书验证禁用 Supply Chain 代码在 lines 148-150 禁用了 SSL 证书验证，可能导致中间人攻击风险。这是已知的权衡设计，用于测试或特殊网络环境。 `ctx.check_hostname = False ctx.verify_mode = ssl.CERT_NONE` → 如非必要，建议移除 SSL 验证禁用，使用默认安全验证；如必须使用，建议添加域名白名单检查	`scripts/search.py:148-150`

Resource	Declared	Inferred	Status	Evidence
Filesystem	`READ`	`READ`	✓ Aligned	scripts/search.py:44 仅读取 .env 获取 API_KEY
Network	`READ`	`READ`	✓ Aligned	scripts/search.py:138 仅调用百度千帆 API qianfan.baidubce.com
Shell	`NONE`	`NONE`	—	无 subprocess/os.system 等调用
Environment	`READ`	`READ`	✓ Aligned	scripts/search.py:42 仅读取 BAIDU_API_KEY
Skill Invoke	`NONE`	`NONE`	—	无其他 skill 调用
Clipboard	`NONE`	`NONE`	—	无剪贴板操作
Browser	`NONE`	`NONE`	—	无浏览器自动化
Database	`NONE`	`NONE`	—	无数据库操作

1 findings

🔗

Medium External URL 外部 URL

https://qianfan.baidubce.com/v2/ai_search/web_summary

SKILL.md:28

3 files · 11.3 KB · 404 lines

Python 1f · 294L Markdown 1f · 105L JSON 1f · 5L

├─ ▾ 📁 scripts

│ └─ 🐍 search.py Python 294L · 8.5 KB

├─ 📋 _meta.json JSON 5L · 139 B

└─ 📝 SKILL.md Markdown 105L · 2.6 KB

✓ 使用标准库 urllib，无第三方依赖

✓ API 调用仅指向百度官方域名 qianfan.baidubce.com

✓ 凭证读取仅限于 BAIDU_API_KEY，符合最小权限原则

✓ 无环境变量遍历、无敏感路径访问

✓ 无代码混淆、无 base64 执行

✓ 无 subprocess/shell 执行

✓ SKILL.md 文档与实际代码行为完全一致