安全决策报告
meituan-hotel-deals-xp
合法的美团酒店特价搜索技能，存在硬编码凭证和文档不一致等轻微瑕疵，但无恶意行为。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 1 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
硬编码API token +10
PROXY_TOKEN硬编码在代码中（第8行）
文档与行为不一致 +8
声称不存储用户数据，但向第三方发送城市/品牌参数
外部网络通信 +4
向腾讯云SCF代理发送搜索请求
最关键的证据
低危 权限提升
硬编码API凭证
代理token (tp_8k2mX9vQ4z) 硬编码在源代码中，如果代码仓库公开会导致凭证泄露。
scripts/meituan_hotel.py:8 使用环境变量存储敏感凭证，避免硬编码
低危 文档欺骗
文档声明与实际行为不符
SKILL.md声称「不存储用户数据」，但代码确实向腾讯云SCF发送city/brand等参数，存在数据外传。
SKILL.md:48 修正文档，明确说明搜索参数会发送至腾讯云代理
低危 供应链
无依赖锁定文件
仅使用Python标准库(urllib)无第三方依赖，但缺少requirements.txt等依赖管理文件。
scripts/meituan_hotel.py:1 创建requirements.txt明确声明依赖版本
声明能力 vs 实际能力
网络访问 通过
声明 READ
→ 推断 READ
代码仅通过urllib.request发送HTTP POST请求 可疑产物与外联
中危 外部 URL
https://1439498936-cltb2hszg7.ap-guangzhou.tencentscf.com scripts/meituan_hotel.py:8
依赖与供应链
没有结构化依赖告警。
文件构成
2 个文件 · 232 行
Python 1 个文件 · 179 行Markdown 1 个文件 · 53 行
需关注文件 · 2
scripts/meituan_hotel.py 硬编码API凭证 · 无依赖锁定文件 · https://1439498936-cltb2hszg7.ap-guangzhou.tencentscf.com
SKILL.md 文档声明与实际行为不符
安全亮点
仅使用Python标准库，无可疑第三方依赖
无shell执行、文件写入、凭证收割等高危操作
代码逻辑简单清晰，易于审计
无Base64编码、eval调用等混淆行为
参数传递有基本的null防护