中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
✓ Trusted — Risk Score 5/100
Last scan:5 hr ago Rescan
5 /100
desktop-automation
Complete desktop automation for Windows/macOS/Linux with image recognition, OCR, and macro recording
这是一个功能完整、文档清晰的桌面自动化工具，具有完善的安全机制（safe_mode、dry_run、危险模式检测）。无恶意行为发现，subprocess仅用于内部宏脚本调用。
Skill Namedesktop-automation
Duration47.9s
Enginepi
ClawHub Desktop automation ultra v2.0.0 by jordaneparis
📥 296
ClawHub Verdict Suspicious dangerous_exec
✓
Safe to install
此技能可安全使用。建议：仅在可信环境中录制宏，避免在输入凭证时开启录制功能。

Findings 2 items

Severity Finding Location
Info
依赖版本无严格锁定 Supply Chain
requirements.txt使用>=约束而非==锁定版本，理论上存在依赖被篡改风险
pyautogui>=0.9.53
pygetwindow>=0.0.9
→ 如需更高安全保证，生产环境使用 pip-compile 生成 requirements.txt.lock
 requirements.txt:1
Info
pynput全局输入监听 Sensitive Access
record_macro.py使用pynput监听所有键盘和鼠标事件。SKILL.md已明确警告不在录制时输入敏感信息
self.keyboard_listener = keyboard.Listener(on_press=self._on_press_wrapper)
→ 仅在非敏感工作流中使用录制功能
 scripts/record_macro.py:73
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned SKILL.md声明截图/宏保存，代码在lib/actions.py:147使用os.path.expanduser保存截图
Shell NONE NONE — 仅通过subprocess调用内部scripts/*.py，无裸shell命令
Environment READ READ ✓ Aligned 仅读取AUTOMATION_LOG_DIR和AUTOMATION_SAFE_MODE用于配置
Skill Invoke NONE NONE — 无跨技能调用
1 High 4 findings
📡
High IP Address 硬编码 IP 地址
4.10.0.84
DEPENDENCIES.md:18
🔗
Medium External URL 外部 URL
https://img.shields.io/badge/License-MIT-yellow.svg
SKILL.md:3
🔗
Medium External URL 外部 URL
https://opensource.org/licenses/MIT
SKILL.md:3
🔗
Medium External URL 外部 URL
https://img.shields.io/badge/OpenClaw-Skill-blue
SKILL.md:4

File Tree

23 files · 172.4 KB · 5030 lines
Python 14f · 3666L Markdown 5f · 1272L JavaScript 1f · 38L Text 2f · 27L YAML 1f · 27L
├─ ▾ 📁 lib
│ ├─ 🐍 __init__.py Python 27L · 620 B
│ ├─ 🐍 actions.py Python 279L · 11.5 KB
│ ├─ 🐍 advanced_automation.py Python 548L · 20.6 KB
│ ├─ 🐍 automation.py Python 670L · 25.5 KB
│ ├─ 🐍 image_recognition.py Python 167L · 6.8 KB
│ ├─ 🐍 macro_player.py Python 175L · 6.5 KB
│ ├─ 🐍 ocr_engine.py Python 188L · 8.0 KB
│ ├─ 🐍 safety_manager.py Python 105L · 3.5 KB
│ ├─ 🐍 safety.py Python 103L · 4.1 KB
│ ├─ 🐍 utils.py Python 135L · 3.7 KB
│ └─ 🐍 vision.py Python 163L · 4.9 KB
├─ ▾ 📁 scripts
│ ├─ 🐍 play_macro.py Python 336L · 12.7 KB
│ ├─ 🐍 record_macro.py Python 597L · 21.7 KB
│ └─ 🐍 test_automation.py Python 173L · 5.4 KB
├─ 📝 AUTHORS.md Markdown 38L · 912 B
├─ 📝 CONTRIBUTING.md Markdown 133L · 3.7 KB
├─ 📝 DEPENDENCIES.md Markdown 87L · 3.0 KB
├─ 📄 LICENSE.txt Text 21L · 1.1 KB
├─ 📝 README.md Markdown 670L · 17.0 KB
├─ 📄 requirements.txt Text 6L · 109 B
├─ 📜 skill.js JavaScript 38L · 1.1 KB
├─ 📝 SKILL.md Markdown 344L · 9.3 KB
└─ 📋 skill.yaml YAML 27L · 663 B

Dependencies 6 items

PackageVersionSourceKnown VulnsNotes
pyautogui >=0.9.53 pip No 无版本锁定
pygetwindow >=0.0.9 pip No 无版本锁定
Pillow >=8.0.0 pip No 无版本锁定
opencv-python >=4.5.0 pip No 无版本锁定
pytesseract >=0.3.10 pip No 无版本锁定
pyperclip >=1.8.2 pip No 无版本锁定

Security Positives

✓ 安全模式(safe_mode)默认开启，阻止危险操作
✓ dry_run模式支持测试验证
✓ 危险模式检测(DANGEROUS_PATTERNS)覆盖命令注入和路径遍历
✓ 文档-行为完全一致，无阴影功能
✓ 线程安全实现(threading.Lock)
✓ 完整的错误处理和日志记录
✓ 录音宏明确警告隐私风险