中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 15/100
上次扫描：2 天前 重新扫描
15 /100
openclaw-config-master
Edit and validate OpenClaw Gateway config (openclaw.json / JSON5)
OpenClaw 配置管理技能，代码质量高，文档示例中的危险命令已标注用途，无实际恶意行为。
技能名称openclaw-config-master
分析耗时39.8s
引擎pi
✓
可以安装
可安全使用。建议将 references/common-errors.md 中的 curl|sh 命令示例替换为更安全的安装方式。

安全发现 2 项

严重性 安全发现 位置
中危
文档示例包含危险命令
references/common-errors.md:462 包含 curl -fsSL https://get.openclaw.dev | sh 危险命令，但作为错误修复场景的示例（展示安装命令不应在 CI/CD 中直接 pipe to sh）
curl -fsSL https://get.openclaw.dev | sh
→ 将示例替换为更安全的安装方式：下载脚本后检查内容再执行，或使用包管理器安装
 references/common-errors.md:462
低危
Python3/jq 依赖未声明
validate-config.sh 使用 python3 和 jq 进行 JSON 验证，但未在文档中声明这些依赖
if ! python3 -c "${python_cmd}" < "${CONFIG_PATH}"
→ 在脚本头部添加依赖检查或使用 OpenClaw 内置工具
 scripts/validate-config.sh:1
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 backup-config.sh/restore-config.sh: 读写配置文件
命令执行 WRITE WRITE ✓ 一致 SKILL.md 使用 openclaw CLI 命令（doctor, config set 等），scripts/*.sh 执行脚本
网络访问 READ READ ✓ 一致 SKILL.md 引用外部文档链接，仅用于参考
1 严重 29 项发现
💀
严重 危险命令 危险 Shell 命令
curl -fsSL https://get.openclaw.dev | sh
references/common-errors.md:462
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/configuration
SKILL.md:60
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/configuration-reference
SKILL.md:61
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/cli/config
SKILL.md:62
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/cli/update
SKILL.md:63
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/cli/channels
SKILL.md:64
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/cli/skills
SKILL.md:65
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/cli/security
SKILL.md:66
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/models
SKILL.md:67
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/agents
SKILL.md:68
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/tools
SKILL.md:69
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/plugins
SKILL.md:70
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/cron
SKILL.md:71
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/gateway/session
SKILL.md:72
🔗
中危 外部 URL 外部 URL
https://get.openclaw.dev
references/common-errors.md:462
🔗
中危 外部 URL 外部 URL
https://api.yourprovider.com/v1
references/complex-operations.md:87
🔗
中危 外部 URL 外部 URL
https://t.me/BotFather
references/complex-operations.md:206
🔗
中危 外部 URL 外部 URL
https://t.me/userinfobot
references/complex-operations.md:245
🔗
中危 外部 URL 外部 URL
https://open.feishu.cn/
references/complex-operations.md:288
🔗
中危 外部 URL 外部 URL
https://discord.com/developers/applications
references/complex-operations.md:494
🔗
中危 外部 URL 外部 URL
https://api.slack.com/apps
references/complex-operations.md:525
🔗
中危 外部 URL 外部 URL
https://api.search.brave.com
references/complex-operations.md:645
🔗
中危 外部 URL 外部 URL
https://api.firecrawl.dev
references/complex-operations.md:650
🔗
中危 外部 URL 外部 URL
https://api.perplexity.ai
references/complex-operations.md:654
🔗
中危 外部 URL 外部 URL
https://push.example.com
references/complex-operations.md:906
🔗
中危 外部 URL 外部 URL
https://api.x.ai
references/openclaw-config-fields.md:431
🔗
中危 外部 URL 外部 URL
https://api.moonshot.cn
references/openclaw-config-fields.md:437
🔗
中危 外部 URL 外部 URL
https://api.minimaxi.com/anthropic
references/openclaw-config-fields.md:1314
📧
提示 邮箱 邮箱地址
[email protected]
references/openclaw-config-fields.md:768

目录结构

14 文件 · 202.4 KB · 7842 行
Markdown 7f · 6548L Shell 5f · 1286L JSON 1f · 5L YAML 1f · 3L
├─ ▾ 📁 agents
│ └─ 📋 openai.yaml YAML 3L · 107 B
├─ ▾ 📁 references
│ ├─ 📝 channels-config.md Markdown 466L · 13.1 KB
│ ├─ 📝 common-errors.md Markdown 1336L · 31.9 KB
│ ├─ 📝 complex-operations.md Markdown 1437L · 35.7 KB
│ ├─ 📝 openclaw-config-fields.md Markdown 1680L · 44.7 KB
│ ├─ 📝 schema-sources.md Markdown 86L · 3.9 KB
│ └─ 📝 version-migration.md Markdown 901L · 21.7 KB
├─ ▾ 📁 scripts
│ ├─ 🔧 backup-config.sh Shell 208L · 5.0 KB
│ ├─ 🔧 openclaw-config-check.sh Shell 63L · 1.4 KB
│ ├─ 🔧 restore-config.sh Shell 350L · 8.1 KB
│ ├─ 🔧 validate-config.sh Shell 393L · 8.6 KB
│ └─ 🔧 validate-migration.sh Shell 272L · 6.3 KB
├─ 📋 _meta.json JSON 5L · 141 B
└─ 📝 SKILL.md Markdown 642L · 21.9 KB

依赖分析 2 项

包名版本来源已知漏洞备注
python3 any system 否 用于 JSON 验证，非核心依赖
jq any system 否 JSON 输出格式，非核心依赖

安全亮点

✓ 代码质量高，结构清晰，有完整错误处理
✓ 所有文件操作仅限于 ~/.openclaw/ 目录，符合声明范围
✓ 无凭证收割、远程执行或数据外泄行为
✓ 备份/恢复脚本有权限控制（chmod 600）
✓ 配置文件验证采用安全方式（python3 json.tool）
✓ 无 .env 或敏感文件泄露
✓ 脚本使用 set -euo pipefail 防止意外执行