Scan Report
5 /100
clawscan-vigil
OpenClaw Skill 安全扫描器，静态+动态双重检测
ClawScan 是一个合法的 OpenClaw Skill 安全扫描工具，采用静态 AST 分析 + RestrictedPython 动态沙箱技术检测恶意代码。代码结构清晰，无恶意行为发现，仅存在依赖声明宽泛的轻微瑕疵。
Safe to install
可安全安装使用。无需额外限制。
Findings 1 items
| Severity | Finding | Location |
|---|---|---|
| Low | 依赖声明宽泛但未使用 Supply Chain | pyproject.toml:37 |
| Resource | Declared | Inferred | Status | Evidence |
|---|---|---|---|---|
| Filesystem | READ | READ | ✓ Aligned | cli.py:242-249 skill_wrapper.py:26 |
| Network | NONE | NONE | — | 代码中无网络请求实现 |
| Shell | NONE | READ | ✓ Aligned | skill_wrapper.py:26 subprocess.run 仅用于调用本地 clawscan CLI |
8 findings
Medium External URL 外部 URL
https://clawhub.ai/signup PUBLISH.md:45 Medium External URL 外部 URL
https://img.shields.io/badge/python-3.10+-blue.svg README.md:3 Medium External URL 外部 URL
https://www.python.org/downloads/ README.md:3 Medium External URL 外部 URL
https://img.shields.io/badge/License-MIT-yellow.svg README.md:4 Medium External URL 外部 URL
https://opensource.org/licenses/MIT README.md:4 Medium External URL 外部 URL
https://clawscan.dev SKILL.md:73 Medium External URL 外部 URL
https://docs.clawscan.dev pyproject.toml:42 Info Email 邮箱地址
[email protected] SKILL.md:167 File Tree
16 files · 74.9 KB · 2421 lines Python 11f · 1751L
Markdown 4f · 616L
TOML 1f · 54L
├─
▾
core
│ ├─
__init__.py
Python
│ ├─
advanced_analyzer.py
Python
│ ├─
batch_scanner.py
Python
│ ├─
dynamic_tracer.py
Python
│ ├─
license_manager.py
Python
│ ├─
models.py
Python
│ ├─
risk_engine.py
Python
│ ├─
scanner.py
Python
│ └─
static_analyzer.py
Python
├─
▾
skill
│ ├─
skill_wrapper.py
Python
│ └─
SKILL.md
Markdown
├─
cli.py
Python
├─
PUBLISH.md
Markdown
├─
pyproject.toml
TOML
├─
README.md
Markdown
└─
SKILL.md
Markdown
Dependencies 4 items
| Package | Version | Source | Known Vulns | Notes |
|---|---|---|---|---|
requests | >=2.28 | pip | No | 声明但未使用 |
RestrictedPython | >=7.0 | pip | No | 用于沙箱执行被扫描代码，版本锁定 |
click | >=8.0 | pip | No | CLI 框架，无已知漏洞 |
rich | >=13.0 | pip | No | 终端美化库，无已知漏洞 |
Security Positives
✓ 使用 AST 静态分析 + RestrictedPython 沙箱执行，技术方案合理
✓ 许可证验证完全本地执行，不上传任何数据（符合隐私声明）
✓ 无 eval/exec 动态代码执行危险
✓ 无访问 ~/.ssh、~/.aws、.env 等敏感路径
✓ 无 base64 编码执行或代码混淆
✓ 无凭证收割或 API 密钥外传行为
✓ 无远程脚本下载执行（curl|bash 管道）
✓ BatchScanner 仅在 Premium 许可证验证后可用