中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：10 小时前 重新扫描
5 /100
stella-selfie
Generate persona-consistent selfie images and send to any OpenClaw channel
Stella Selfie 是一个合法的 AI Agent 图像生成技能，用于生成角色一致的自拍照并发送到 OpenClaw 频道。预扫描标记的 Base64 IOC 是误报，均为正常 API 响应图像解码。无恶意行为发现。
技能名称stella-selfie
分析耗时56.1s
引擎pi
✓
可以安装
可直接使用。API 密钥版本锁定较宽泛，建议生产环境固定具体版本号。

安全发现 2 项

严重性 安全发现 位置
低危
依赖版本锁定较宽泛 供应链
package.json 中 @fal-ai/client 使用 ^1.2.0，@google/genai 使用 ^0.7.0，次版本更新可能引入行为变化。
"@fal-ai/client": "^1.2.0"
→ 生产环境建议固定到具体版本：@fal-ai/[email protected]
 package.json:26
提示
Base64 解码误报 代码混淆
预扫描标记的 gemini.ts:198 和 laozhang.ts:227 的 Buffer.from(..., 'base64') 是正常的 API 响应图像解码，用于处理图像生成 API 返回的 base64 编码图片数据，非代码混淆。
imageData = Buffer.from(blob.data, "base64");
→ 无需处理，这是标准图像解码方式
 scripts/providers/gemini.ts:198
资源类型声明权限推断权限状态证据
命令执行 WRITE WRITE ✓ 一致 SKILL.md:15 声明 Bash(openclaw:*)，sender.ts:67 执行 openclaw message send CLI
文件系统 READ+WRITE READ+WRITE ✓ 一致 SKILL.md:15 声明 Read+Write，代码读写 ~/.openclaw/workspace/ 目录
网络访问 READ READ ✓ 一致 访问 Gemini/fal/laozhang.ai API，符合图像生成工具定位
2 严重 6 项发现
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(blob.data, "base64"
scripts/providers/gemini.ts:198
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(raw, "base64"
scripts/providers/laozhang.ts:227
🔗
中危 外部 URL 外部 URL
https://api.laozhang.ai
SKILL.md:166
🔗
中危 外部 URL 外部 URL
https://cdn.example.com/ref1.jpg
SKILL.md:232
🔗
中危 外部 URL 外部 URL
https://cdn.example.com/ref2.jpg
SKILL.md:232
🔗
中危 外部 URL 外部 URL
https://api.laozhang.ai/v1beta/models
scripts/providers/laozhang.ts:6

目录结构

12 文件 · 79.5 KB · 2381 行
TypeScript 8f · 1801L Markdown 2f · 520L JSON 2f · 60L
├─ ▾ 📁 references
│ └─ 📝 timeline-integration.md Markdown 262L · 11.3 KB
├─ ▾ 📁 scripts
│ ├─ ▾ 📁 providers
│ │ ├─ 📜 fal.ts TypeScript 120L · 3.2 KB
│ │ ├─ 📜 gemini.ts TypeScript 225L · 6.3 KB
│ │ └─ 📜 laozhang.ts TypeScript 251L · 6.4 KB
│ ├─ 📜 avatars.ts TypeScript 129L · 3.7 KB
│ ├─ 📜 errors.ts TypeScript 635L · 20.0 KB
│ ├─ 📜 identity.ts TypeScript 79L · 2.3 KB
│ ├─ 📜 sender.ts TypeScript 73L · 1.9 KB
│ └─ 📜 skill.ts TypeScript 289L · 9.3 KB
├─ 📋 package.json JSON 41L · 1.1 KB
├─ 📝 SKILL.md Markdown 258L · 13.5 KB
└─ 📋 tsconfig.json JSON 19L · 478 B

依赖分析 2 项

包名版本来源已知漏洞备注
@fal-ai/client ^1.2.0 npm 否 版本锁定较宽泛，建议固定版本
@google/genai ^0.7.0 npm 否 版本锁定较宽泛，建议固定版本

安全亮点

✓ 代码结构清晰，模块职责明确（providers 分离各 API 适配）
✓ 错误处理完善，有统一的 StellaError 体系和多语言用户提示
✓ 敏感路径访问范围严格限定在 ~/.openclaw/workspace/
✓ CLI 命令执行仅限于 openclaw message send，用途明确且安全
✓ 文件生成后立即清理，符合隐私最佳实践
✓ 支持多 Provider 切换，便于绕过 API 限制
✓ 有完整的类型定义和文档