技能安全扫描器

技能简介

ClawSkillShield 是一款面向 OpenClaw/ClawHub 技能的本地优先安全扫描工具，采用纯 Python 开发，无需网络连接即可运行。该工具通过静态分析技术识别技能包中的安全风险与恶意代码模式，为开发者和用户提供可审计的开源防护层。

能做什么

• 扫描硬编码敏感信息（API 密钥、凭证、私钥）
• 识别危险导入模块（os、subprocess、socket、ctypes）
• 检测高风险调用（eval()、exec()、open()）
• 发现混淆代码（base64 块、可疑编码）
• 标记硬编码 IP 地址
• 生成 0-10 分风险评分与详细威胁报告
• 自动隔离高风险技能包

使用说明

安装指令：

pip install -e .

CLI 用法（人工操作）：

clawskillshield scan-local /path/to/skill
clawskillshield quarantine /path/to/skill

Python API 用法（智能体集成）：

from clawskillshield import scan_local, quarantine

threats = scan_local("/path/to/skill")
if risk_score < 4:  # 高风险阈值
    quarantine("/path/to/skill")

输入与输出

见下方输入与输出表格。

风险提示

• 风险评分低于 4 分的技能将被判定为高风险，建议立即隔离
• 扫描结果仅供参考，不可替代人工代码审计
• 隔离操作会移动或限制技能文件访问权限，请提前备份重要数据
• 工具本身需从可信渠道获取，防止供应链攻击

来源信息

原始链接：https://github.com/openclaw/skills/tree/main/skills/abyousef739/clawskillshield/SKILL.md
来源类型：GitHub 仓库