中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 8/100
上次扫描：4 小时前 重新扫描
8 /100
watchdog
Watch.dog 平台 MCP Skill，监控网站/API/cron jobs 的可用性
Watchdog 技能是合法的 Watch.dog 监控平台 MCP 封装，代码行为与声明功能一致，仅存在轻微文档不完整问题。
技能名称watchdog
分析耗时35.0s
引擎pi
ClawHub watchdog v1.0.0 by joseshiru
📥 205 📦 1
ClawHub 判定 可疑 env_credential_accessllm_suspiciouspotential_exfiltrationvt_suspicious
✓
可以安装
可直接使用。建议更新 SKILL.md 明确声明自动创建 .env 文件的初始化行为。

安全发现 2 项

严重性 安全发现 位置
低危
初始化流程未在文档中声明 文档欺骗
WATCHDOG_SYSTEM_PROMPT 中包含自动创建 .env 文件的指令（'使用你的原生文件写入工具自动创建或覆盖 .env 文件'），但 SKILL.md 中未明确说明此行为
Once the user provides the data, use your native file writing tools to automatically create or overwrite the .env file
→ 在 SKILL.md 的 'Required Configuration' 部分明确说明首次激活时 AI 会自动帮助用户创建 .env 文件
 index.js:56
提示
示例占位符 API Key 文档欺骗
SKILL.md 中包含占位符 API_KEY="sk_live_your_key_here"，仅为文档示例，非实际硬编码凭证
WATCHDOG_API_KEY="sk_live_your_key_here"
→ 保持现状，这是合理的文档占位符用法
 SKILL.md:60
资源类型声明权限推断权限状态证据
网络访问 WRITE WRITE ✓ 一致 index.js:100-129 callRemoteTool() 通过 fetch 向 watch.dog API 发送请求，符合监控服务的设计
文件系统 NONE READ ✓ 一致 index.js:22-28 readFileSync(envPath) 读取 .env 文件，应在 SKILL.md 中声明
环境变量 READ READ ✓ 一致 index.js:32-35 读取 WATCHDOG_API_KEY 和 WATCHDOG_API_URL，已在 MCP manifest 中声明
1 高危 6 项发现
🔑
高危 API 密钥 疑似硬编码凭证
API_KEY="sk_live_your_key_here"
SKILL.md:60
🔗
中危 外部 URL 外部 URL
https://api.watch.dog/api/mcp_server.php
SKILL.md:25
🔗
中危 外部 URL 外部 URL
https://watch.dog
SKILL.md:64
🔗
中危 外部 URL 外部 URL
https://watch.dog/monitors/...
index.js:71
🔗
中危 外部 URL 外部 URL
https://opencollective.com/express
package-lock.json:138
🔗
中危 外部 URL 外部 URL
https://opencollective.com/fastify
package-lock.json:449

目录结构

4 文件 · 63.0 KB · 1824 行
JSON 2f · 1171L JavaScript 1f · 561L Markdown 1f · 92L
├─ 📜 index.js JavaScript 561L · 19.2 KB
├─ 📋 package-lock.json JSON 1143L · 39.3 KB
├─ 📋 package.json JSON 28L · 616 B
└─ 📝 SKILL.md Markdown 92L · 3.9 KB

依赖分析 2 项

包名版本来源已知漏洞备注
@modelcontextprotocol/sdk ^1.0.0 npm 否 官方 MCP SDK
zod ^3.22.0 npm 否 Schema 验证库，版本锁定

安全亮点

✓ 使用官方 @modelcontextprotocol/sdk 库，代码质量可靠
✓ 依赖项已锁定版本（package-lock.json 存在）
✓ 所有网络请求仅指向 watch.dog 域名，无可疑外部通信
✓ 无代码混淆、base64 执行等高危指标
✓ 无凭证外传行为，API Key 仅用于远程 API 认证
✓ 无文件系统写入、shell 执行等敏感操作
✓ 错误处理完善，返回友好的错误信息