html-extract Security Report — Trusted | ClawSafe

5 /100

html-extract

使用 MinerU 从 HTML 页面和文件中提取内容并转换为结构化 Markdown

纯文档型技能，无实际代码，仅声明使用第三方CLI工具mineru-open-api进行HTML到Markdown的转换，功能清晰，无恶意行为迹象。

Skill Namehtml-extract

Duration29.4s

Enginepi

✓

Safe to install

可直接使用。建议验证 mineru-open-api 来自官方源，仅处理可信来源的 HTML 内容。

Findings 2 items

Severity	Finding	Location
Low	纯文档型技能，无可审查代码此skill仅包含SKILL.md文档，无任何脚本代码。所有功能依赖外部第三方CLI工具mineru-open-api，其真实实现不可审计。 `使用 mineru-open-api CLI 工具` → 确认mineru-open-api来自可信来源（npm/go官方包），考虑在隔离环境中运行以限制潜在风险。	`SKILL.md:1`
Low	第三方闭源工具依赖 skill依赖的mineru-open-api工具为第三方闭源实现，代码行为不可验证。 `npm install -g mineru-open-api` → 使用前验证包签名和来源，关注官方仓库安全更新。	`SKILL.md:16`

Resource	Declared	Inferred	Status	Evidence
Shell	`WRITE`	`WRITE`	✓ Aligned	SKILL.md:17-28 调用 mineru-open-api 命令
Filesystem	`READ`	`READ`	✓ Aligned	SKILL.md:17-18 支持读取本地HTML文件
Network	`READ`	`READ`	✓ Aligned	SKILL.md:20-21 支持从远程URL提取内容
Environment	`READ`	`READ`	✓ Aligned	SKILL.md:40-45 需要 MINERU_TOKEN 环境变量

2 findings

🔗

Medium External URL 外部 URL

https://mineru.net

SKILL.md:4

🔗

Medium External URL 外部 URL

https://mineru.net/apiManage/token

SKILL.md:45

1 files · 3.0 KB · 59 lines

Markdown 1f · 59L

└─ 📝 SKILL.md Markdown 59L · 3.0 KB

Package	Version	Source	Known Vulns	Notes
`mineru-open-api`	`*`	npm/go	No	第三方闭源CLI工具，真实实现不可审计

✓ 功能声明清晰，无夸大或隐藏能力

✓ 使用环境变量存储API凭证，无硬编码敏感信息

✓ 无代码执行，文档与声明一致

✓ 无网络请求到可疑地址

✓ 无文件系统越权访问

✓ 无凭证收割行为