中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：10 小时前 重新扫描
5 /100
jean-claw-van-damme
Authorization gatekeeper for OpenClaw agents - scoped grants, time-bound permissions, skill scanning, prompt injection detection
Jean-Claw Van Damme 是一个合法的授权门卫安全技能，纯静态分析，无恶意行为，代码与文档一致。
技能名称jean-claw-van-damme
分析耗时54.6s
引擎pi
✓
可以安装
可直接安装使用。该技能作为安全工具本身无风险。

安全发现 2 项

严重性 安全发现 位置
低危
工具依赖声明不完整 文档欺骗
SKILL.md描述为'markdown skill with no compiled code or external dependencies'，但scan-skill.sh依赖grep/正则，audit-export.sh依赖jq。这属于轻微的文档描述偏差，但不影响安全性。
Jean-Claw is a pure markdown skill with no compiled code or external dependencies
→ 更新SKILL.md说明脚本依赖的shell工具（grep、jq）或将脚本重命名为仅供参考的辅助文件
 SKILL.md:1
低危
扫描模式可能产生误报 供应链
scan-skill.sh的credential patterns检测（API_KEY、SECRET、TOKEN等）可能匹配合法代码中的注释或变量名。这是安全扫描工具的常见权衡。
CRED_PATTERNS=("API_KEY" "SECRET" "TOKEN" ...)
→ 这是预期的扫描行为，安全工具的误报是可接受的
 scan-skill.sh:95
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 SKILL.md 声明读取本地文件
网络访问 READ READ ✓ 一致 SKILL.md 声明 Web searches
命令执行 NONE NONE — 无shell执行，脚本仅做静态grep分析
环境变量 NONE NONE — audit-export.sh仅读取预定义路径的audit.json
技能调用 NONE NONE — 无动态技能调用
2 项发现
🔗
中危 外部 URL 外部 URL
https://agenticpoa.com
README.md:9
🔗
中危 外部 URL 外部 URL
https://snyk.io/blog/clawhub-malicious-google-skill-openclaw-malware/
README.md:13

目录结构

5 文件 · 27.0 KB · 801 行
Markdown 2f · 431L Shell 2f · 305L JSON 1f · 65L
├─ 🔧 audit-export.sh Shell 68L · 2.1 KB
├─ 📋 policy.json JSON 65L · 1.5 KB
├─ 📝 README.md Markdown 178L · 7.1 KB
├─ 🔧 scan-skill.sh Shell 237L · 6.3 KB
└─ 📝 SKILL.md Markdown 253L · 10.0 KB

依赖分析 2 项

包名版本来源已知漏洞备注
grep 系统内置 shell 否 用于正则匹配，安全工具正常用法
jq 可选 shell 否 audit-export.sh需要，如不存在会降级处理

安全亮点

✓ 纯静态分析工具，无代码执行能力
✓ 无编译代码，无外部依赖
✓ 透明可审计：所有代码可读
✓ 无敏感文件访问（无~/.ssh、.env等路径）
✓ 无数据外泄：未发现向外部发送数据
✓ 无混淆代码：未发现base64执行、eval调用
✓ 功能与安全目标一致
✓ 设计良好的三层权限分类