什么是 技能安全审计？

技能安全审计是为 AI 智能体开发者和用户设计的专业工具，旨在确保其本地环境的安全与完整。它扫描 Openclaw Skills 中的关键漏洞，例如暴露的 Anthropic、OpenAI 或 AWS API 密钥，并识别具有潜在破坏性的命令模式，如递归删除或未经授权的根访问。

通过将此技能集成到您的工作流中，您可以建立一个防御层，防止恶意或编写不当的代码损害您的系统。无论是安装第三方包还是为社区准备自己的作品，此工具都提供了必要的透明度，以在您的整个基础架构中维护安全的 Openclaw Skills。

下载入口:https://github.com/openclaw/skills/tree/main/skills/xiwan/jiajia-security-audit

安装与下载

1. ClawHub CLI

从源直接安装技能的最快方式。

2. 手动安装

将技能文件夹复制到以下位置之一

优先级：工作区 > 本地 > 内置

3. 提示词安装

将此提示词复制到 OpenClaw 即可自动安装。

技能安全审计 应用场景

• 在进行安装之前，对第三方仓库执行安全扫描。
• 对所有现有的 Openclaw Skills 运行自动定期审计，以确保没有引入新的漏洞。
• 在发布新技能之前进行最终自检，以防止意外泄露私人凭据或敏感配置文件。

1. 该工具通过针对包含 Openclaw Skills 目录的特定脚本启动扫描。
2. 它根据一组预定义的检测规则（涵盖凭据、命令和网络请求）分析源代码和配置文件。
3. 结果分为四个严重级别：紧急、高、中、低。
4. 对于安装，脚本会拦截紧急威胁并对高/中风险提示确认。
5. 对于发布，该工具严格禁止上传任何存在紧急问题的 Openclaw Skills。
6. 在终端生成最终报告，或作为 JSON 对象输出以便进一步处理。

技能安全审计 配置指南

要对特定目录执行手动审计，请使用以下命令：

bash skills/skill-security-audit/scripts/audit.sh skills/target-skill

要安全地安装具有集成安全检查的新技能：

bash skills/skill-security-audit/scripts/safe-install.sh 

您还可以在 .bashrc 或 .zshrc 中设置别名以便更轻松地访问：

alias skill-audit='bash ~/clawd/skills/skill-security-audit/scripts/audit.sh'

技能安全审计 数据架构与分类体系

该技能通过以下结构组织其审计逻辑和结果：

name: skill-security-audit
description: 审计 skill 的安全风险。扫描凭据泄露、危险命令、网络外传、文件越界等问题。用于：(1) 安装新 skill 前的安全检查 (2) 定期审计现有 skills (3) 发布 skill 前的自检。触发词：skill 安全、审计、security audit、检查 skill。

Skill Security Audit

审计 skills 目录中的安全风险，生成报告。

?? 快速使用

安全安装（推荐）

# 替代 clawdhub install，自动审计
bash skills/skill-security-audit/scripts/safe-install.sh weather

# 安装指定版本
bash skills/skill-security-audit/scripts/safe-install.sh my-skill --version 1.2.3

# 有警告也强制安装
bash skills/skill-security-audit/scripts/safe-install.sh risky-skill --force

安全发布

# 替代 clawdhub publish，发布前审计
bash skills/skill-security-audit/scripts/safe-publish.sh ./my-skill --slug my-skill --version 1.0.0

# CRITICAL 问题会阻止发布，无法绕过

手动审计

# 审计单个 skill
bash skills/skill-security-audit/scripts/audit.sh skills/target-skill

# 审计所有 skills
bash skills/skill-security-audit/scripts/audit.sh skills/

# 包含文档文件（更严格）
bash skills/skill-security-audit/scripts/audit.sh skills/ --include-docs

# 输出 JSON（给程序用）
bash skills/skill-security-audit/scripts/audit.sh skills/ --json

??? 检测项目

?? 安装/发布行为

safe-install.sh

safe-publish.sh

?? 忽略误报

行内忽略

# security-audit: ignore-next-line
EXAMPLE_KEY="sk-test-not-real-key-for-documentation"

文件忽略

创建 .security-audit-ignore：

scripts/test_*.sh
references/examples/*
assets/*

?? 文件结构

skill-security-audit/
├── SKILL.md
├── scripts/
│   ├── audit.sh          # 核心审计脚本
│   ├── safe-install.sh   # 安全安装 wrapper
│   └── safe-publish.sh   # 安全发布 wrapper
└── references/
    └── detection-rules.md  # 检测规则详情

?? 设置别名（可选）

# 添加到 ~/.bashrc 或 ~/.zshrc
alias skill-install='bash ~/clawd/skills/skill-security-audit/scripts/safe-install.sh'
alias skill-publish='bash ~/clawd/skills/skill-security-audit/scripts/safe-publish.sh'
alias skill-audit='bash ~/clawd/skills/skill-security-audit/scripts/audit.sh'

# 使用
skill-install weather
skill-publish ./my-skill --slug my-skill
skill-audit skills/