中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 8/100
上次扫描：2 天前 重新扫描
8 /100
minimax-usage-monitor
MiniMax Token Plan 用量查询与监控工具，支持单次查询、定时 cron 监控、多渠道通知（QQ/Discord/Telegram）
MiniMax Token Plan 用量监控工具，代码功能与文档声明一致，无阴影行为，为合法 Web 自动化工具。
技能名称minimax-usage-monitor
分析耗时54.5s
引擎pi
✓
可以安装
可安全使用。建议：1) 依赖版本锁定以防漏洞；2) .env 文件勿提交至版本控制；3) OpenClaw Gateway Token 勿泄露。

安全发现 3 项

严重性 安全发现 位置
提示
预扫描误报：IP 120.0.0.0
预扫描标记的 '硬编码 IP 120.0.0.0' 实际上是 get_usage.js:43 的 User-Agent 字符串中的 Chrome 版本号 '120.0.0.0'，不是网络 IP 地址，属于误报。
userAgent: 'Mozilla/5.0...Chrome/120.0.0.0 Safari/537.36'
→ 无需处理
 scripts/get_usage.js:43
低危
依赖版本未锁定
package.json 中 playwright 使用 ^1.40.0 语义版本，允许小版本更新，存在潜在供应链风险。
"playwright": "^1.40.0"
→ 建议锁定为 "playwright": "1.40.0"
 scripts/package.json:14
提示
localhost 内部通信
notify_usage.js 通过 httpPost() 访问 localhost:37701 的 OpenClaw Gateway API 发送通知，这是 SKILL.md 声明的合法内部通信。
hostname: 'localhost', port, path, method: 'POST'
→ 无需处理
 scripts/notify_usage.js:184
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 scripts/notify_usage.js:263 写入 daily_usage.log
网络访问 READ+WRITE READ+WRITE ✓ 一致 访问 platform.minimaxi.com + 发送通知到 Discord/Telegram
命令执行 NONE NONE — 无 shell 调用
浏览器 WRITE WRITE ✓ 一致 使用 Playwright 控制浏览器自动化操作
1 高危 9 项发现
📡
高危 IP 地址 硬编码 IP 地址
120.0.0.0
scripts/get_usage.js:43
🔗
中危 外部 URL 外部 URL
https://discord.com/api/webhooks/...
SKILL.md:59
🔗
中危 外部 URL 外部 URL
https://npmmirror.com/mirrors
references/setup.en.md:35
🔗
中危 外部 URL 外部 URL
https://discord.com/api/webhooks/xxxxx/yyyyy
references/setup.en.md:102
🔗
中危 外部 URL 外部 URL
https://api.telegram.org/bot
references/setup.en.md:108
🔗
中危 外部 URL 外部 URL
https://platform.minimaxi.com/login
references/troubleshooting.md:19
🔗
中危 外部 URL 外部 URL
https://platform.minimaxi.com/user-center/payment/token-plan
references/troubleshooting.md:113
🔗
中危 外部 URL 外部 URL
https://discord.com
scripts/notify_usage.js:221
🔗
中危 外部 URL 外部 URL
https://api.telegram.org/bot$
scripts/notify_usage.js:233

目录结构

9 文件 · 48.4 KB · 1574 行
Markdown 6f · 1042L JavaScript 2f · 514L JSON 1f · 18L
├─ ▾ 📁 references
│ ├─ 📝 cron-guide.en.md Markdown 108L · 3.0 KB
│ ├─ 📝 cron-guide.zh.md Markdown 135L · 3.9 KB
│ ├─ 📝 setup.en.md Markdown 166L · 3.6 KB
│ ├─ 📝 setup.zh.md Markdown 165L · 3.8 KB
│ └─ 📝 troubleshooting.md Markdown 222L · 7.0 KB
├─ ▾ 📁 scripts
│ ├─ 📜 get_usage.js JavaScript 244L · 8.3 KB
│ ├─ 📜 notify_usage.js JavaScript 270L · 9.9 KB
│ └─ 📋 package.json JSON 18L · 514 B
└─ 📝 SKILL.md Markdown 246L · 8.4 KB

依赖分析 1 项

包名版本来源已知漏洞备注
playwright ^1.40.0 npm 否 使用 caret 语义版本，建议锁定主版本

安全亮点

✓ SKILL.md 详尽描述所有功能，无文档-行为差异
✓ 代码开源透明，无阴影功能（隐藏的凭证收割、远程执行等）
✓ 网络请求仅指向声明的合法目标（MiniMax 平台 + 通知渠道）
✓ 使用 Playwright 进行真实的浏览器自动化，非逆向 API
✓ 支持 .clawhubignore 排除 .env 文件
✓ 多渠道通知（QQ/Discord/Telegram）符合声明用途