扫描报告
5 /100
wecom-openclaw
WeChat Work (企业微信) 与 OpenClaw 的集成适配器，通过Webhook接收消息、调用AI异步回复
标准的企业微信Webhook适配器，用于接收微信消息、调用OpenClaw AI并异步回复，无恶意行为，所有预扫描标记的base64操作均为标准加密流程。
可以安装
可直接使用。建议生产环境实施security-guide.md中推荐的加固措施（响应内容过滤、速率限制、消息去重）。
安全发现 1 项
| 严重性 | 安全发现 | 位置 |
|---|---|---|
| 低危 | npm依赖未锁定patch版本 供应链 | scripts/deploy.sh:22 |
| 资源类型 | 声明权限 | 推断权限 | 状态 | 证据 |
|---|---|---|---|---|
| 网络访问 | READ | READ | ✓ 一致 | scripts/index.js:192 POST到qyapi.weixin.qq.com; scripts/index.js:260 GET gettoke… |
| 文件系统 | WRITE | WRITE | ✓ 一致 | scripts/index.js:28 创建logsDir; scripts/index.js:34 追加日志文件 |
| 环境变量 | READ | READ | ✓ 一致 | scripts/index.js:14 读取CORP_ID/AGENT_ID等8个变量 |
| 命令执行 | WRITE | WRITE | ✓ 一致 | scripts/deploy.sh:1 部署脚本执行mkdir/cp/npm install |
4 严重 10 项发现
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(AGENT_SECRET + '=', 'base64' scripts/index.js:94 严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(echostr, 'base64' scripts/index.js:97 严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(encodingAESKey + '=', 'base64' scripts/index.js:216 严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(encryptedMsg, 'base64' scripts/index.js:219 中危 外部 URL 外部 URL
https://work.weixin.qq.com references/setup-guide.md:12 中危 外部 URL 外部 URL
https://your-tunnel.trycloudflare.com/webhook references/setup-guide.md:20 中危 外部 URL 外部 URL
https://xxx.trycloudflare.com references/setup-guide.md:56 中危 外部 URL 外部 URL
https://xxx.trycloudflare.com/webhook references/setup-guide.md:67 中危 外部 URL 外部 URL
https://qyapi.weixin.qq.com/cgi-bin/message/send?access_token=$ scripts/index.js:192 中危 外部 URL 外部 URL
https://qyapi.weixin.qq.com/cgi-bin/gettoken?corpid=$ scripts/index.js:260 目录结构
5 文件 · 22.5 KB · 697 行 Markdown 3f · 321L
JavaScript 1f · 310L
Shell 1f · 66L
├─
▾
references
│ ├─
security-guide.md
Markdown
│ └─
setup-guide.md
Markdown
├─
▾
scripts
│ ├─
deploy.sh
Shell
│ └─
index.js
JavaScript
└─
SKILL.md
Markdown
依赖分析 4 项
| 包名 | 版本 | 来源 | 已知漏洞 | 备注 |
|---|---|---|---|---|
express | ^4.21.2 | npm | 否 | 锁定主版本 |
axios | ^1.8.4 | npm | 否 | 未锁定patch版本 |
xml2js | ^0.6.2 | npm | 否 | 未锁定patch版本 |
dotenv | ^16.4.7 | npm | 否 | 锁定主版本 |
安全亮点
✓ 所有预扫描标记的Buffer.from base64操作均为标准加密流程（WeCom API要求），无代码混淆
✓ msg_signature SHA1验证防止伪造消息（SKILL.md已声明）
✓ AES-256-CBC加密/解密为企业微信标准协议（SKILL.md已声明）
✓ 返回200立即应答+异步处理AI回复，避免超时，符合SKILL.md设计
✓ 无eval/dynamic code execution，无反分析技术
✓ 无凭证收割、环境变量遍历、敏感路径访问等恶意行为
✓ 提供完整security-guide.md，包含签名验证、AES加密、token缓存等安全建议
✓ Token缓存机制减少API调用暴露面
✓ package.json锁定主版本，生产依赖安全性可控