meeting-efficiency-pro 安全扫描报告 — 可信 | ClawSafe

5 /100

meeting-efficiency-pro

AI-powered meeting optimization tool that analyzes calendar events, provides efficiency scores, extracts action items, and automates follow-ups

Meeting Efficiency Pro 是一个合法的会议效率优化工具，代码结构清晰，无恶意行为，所有操作均符合声明功能。

技能名称meeting-efficiency-pro

分析耗时39.8s

引擎pi

✓

可以安装

可安全使用。无风险发现。

安全发现 2 项

严重性	安全发现	位置
提示	权限声明不够具体 SKILL.md 未明确声明 allowed-tools 权限，但实际仅使用基础的 filesystem read 和 shell write（用于 npm install），符合合法安装工具的典型需求。 `metadata 中仅声明 requires.bins: ['node']` → 建议在 SKILL.md 中明确声明 filesystem:READ, shell:WRITE 权限	`SKILL.md:1`
低危	外部 URL 引用 index.js:403 和 SKILL.md:171 包含 clawhub.com 外部链接，属于正常的商业产品引用，非敏感操作。 `https://clawhub.com/skills/meeting-efficiency-pro` → 可接受，属于正常的文档/帮助链接	`index.js:403`

资源类型	声明权限	推断权限	状态	证据
文件系统	`NONE`	`READ`	✓ 一致	index.js:17-21 读取 config/default.json
命令执行	`NONE`	`WRITE`	✓ 一致	index.js:30-32 执行 npm install 用于依赖安装
网络访问	`NONE`	`NONE`	—	无网络请求代码
环境变量	`NONE`	`NONE`	—	无环境变量遍历

2 项发现

🔗

中危外部 URL 外部 URL

https://clawhub.com/skills/meeting-efficiency-pro

index.js:403

📧

提示邮箱邮箱地址

[email protected]

SKILL.md:169

目录结构

11 文件 · 86.2 KB · 2805 行

JavaScript 6f · 2038L Markdown 3f · 678L JSON 2f · 89L

├─ ▾ 📁 config

│ └─ 📋 default.json JSON 35L · 810 B

├─ ▾ 📁 lib

│ ├─ 📜 analyzer.js JavaScript 514L · 15.9 KB

│ ├─ 📜 calendar.js JavaScript 257L · 7.2 KB

│ └─ 📜 reporter.js JavaScript 457L · 15.8 KB

├─ ▾ 📁 references

│ └─ 📝 api-docs.md Markdown 446L · 10.6 KB

├─ ▾ 📁 scripts

│ ├─ 📜 demo.js JavaScript 219L · 8.0 KB

│ └─ 📜 setup.js JavaScript 163L · 5.7 KB

├─ 📜 index.js JavaScript 428L · 14.5 KB

├─ 📋 package.json JSON 54L · 1.2 KB

├─ 📝 README.md Markdown 29L · 642 B

└─ 📝 SKILL.md Markdown 203L · 5.8 KB

依赖分析 5 项

包名	版本	来源	已知漏洞	备注
`openai`	`^4.0.0`	npm	否	API 调用依赖，需配置密钥
`googleapis`	`^128.0.0`	npm	否	Google Calendar 集成
`axios`	`^1.0.0`	npm	否	HTTP 客户端
`dotenv`	`^16.0.0`	npm	否	环境变量加载
`inquirer`	`^8.0.0`	npm	否	交互式 CLI 界面

安全亮点

✓ 代码结构清晰，模块化设计良好（analyzer/calendar/reporter 分离）

✓ 依赖声明在 package.json 中明确列出，无隐式依赖

✓ 无网络请求到外部 IP，无数据外泄风险

✓ 无凭证收割、文件遍历敏感路径等恶意行为

✓ 无 base64|bash 管道、eval()、动态代码执行等危险模式

✓ setup.js 仅使用 readline 交互式收集配置，不存储敏感信息到不安全位置