中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：5 小时前 重新扫描
5 /100
media-generation
Generate images, edit existing images, create short videos, run inpainting/outpainting and object-focused edits, use reference images as provider inputs, batch related media jobs from a manifest, and fetch returned media from URLs/HTML/JSON/data URLs/base64.
标准 AI 媒体生成技能，所有操作与声明一致，无恶意行为发现。subprocess 调用仅用于调用声明的脚本 helpers，requests 库用于调用外部 AI provider API，无敏感数据外泄风险。
技能名称media-generation
分析耗时50.5s
引擎pi
ClawHub Media Generation v2.2.0 by lijiazhen0623
📥 222 📦 1
ClawHub 判定 可疑 dynamic_code_executionllm_suspicious
✓
可以安装
可安全使用。建议在生产环境中锁定 requests 和 Pillow 依赖版本。

安全发现 1 项

严重性 安全发现 位置
低危
依赖包无版本锁定 供应链
scripts/generate_image.py 等导入 requests 但未指定版本，mask_inpaint.py、outpaint_image.py 使用 PIL/Pillow 未锁定版本
import requests
→ 建议在生产环境中添加 requirements.txt 锁定版本：requests>=2.28.0 Pillow>=9.0.0
 scripts/generate_image.py:14
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 所有脚本写入 tmp/images/ 和 tmp/videos/，符合声明
网络访问 READ WRITE ✓ 一致 调用 AI provider API (POST) 和下载媒体 (GET)，符合媒体生成核心功能
命令执行 NONE WRITE ✓ 一致 subprocess.run 调用其他脚本 helpers，但 SKILL.md 明确列出这些脚本作为 helpers

目录结构

17 文件 · 100.0 KB · 2493 行
Python 13f · 2014L Markdown 4f · 479L
├─ ▾ 📁 references
│ ├─ 📝 batch-workflows.md Markdown 89L · 1.8 KB
│ ├─ 📝 model-capabilities.md Markdown 124L · 3.3 KB
│ └─ 📝 reference-image-workflow.md Markdown 70L · 2.6 KB
├─ ▾ 📁 scripts
│ ├─ 🐍 edit_image.py Python 149L · 6.1 KB
│ ├─ 🐍 fetch_generated_media.py Python 174L · 5.4 KB
│ ├─ 🐍 generate_batch_media.py Python 201L · 7.0 KB
│ ├─ 🐍 generate_consistent_media.py Python 9L · 258 B
│ ├─ 🐍 generate_image.py Python 156L · 6.1 KB
│ ├─ 🐍 generate_video.py Python 289L · 11.5 KB
│ ├─ 🐍 mask_inpaint.py Python 219L · 8.7 KB
│ ├─ 🐍 media_request_common.py Python 149L · 5.4 KB
│ ├─ 🐍 object_select_edit.py Python 116L · 4.9 KB
│ ├─ 🐍 outpaint_image.py Python 120L · 5.5 KB
│ ├─ 🐍 prepare_object_mask.py Python 99L · 3.6 KB
│ ├─ 🐍 reference_media.py Python 194L · 8.6 KB
│ └─ 🐍 smoke_test.py Python 139L · 10.2 KB
└─ 📝 SKILL.md Markdown 196L · 9.1 KB

依赖分析 2 项

包名版本来源已知漏洞备注
requests * pip 否 无版本锁定，建议锁定 >=2.28.0
Pillow * pip 否 无版本锁定，建议锁定 >=9.0.0

安全亮点

✓ 代码结构清晰，13 个 Python 脚本共 2014 行，职责分离良好
✓ SKILL.md 文档完整，涵盖所有 9 个主要 helper 脚本
✓ 配置文件加载逻辑健壮，支持 ~/.openclaw/openclaw.json 和 OPENCLAW_CONFIG 环境变量
✓ 错误处理完善，提供 failure_hints 帮助诊断 API 调用失败
✓ 无凭证收割行为，仅读取本地配置文件中的 API key 用于认证
✓ 无数据外泄，生成媒体保存到本地 tmp/ 目录
✓ 无代码混淆或隐藏执行路径
✓ subprocess 调用范围明确，仅用于调用声明的脚本 helpers
✓ batch manifest 支持 JSONL 格式和模板变量，实用性强
✓ async video polling 逻辑完善，支持状态查询和超时控制