安全评估清单

技能简介

这是一份在安装任何外部技能、代码或集成前必须执行的心理检查清单，帮助识别潜在的安全威胁。

能做什么

• 扫描代码中的危险模式（网络请求、命令执行、凭证访问等）
• 验证代码作者身份与可信度
• 评估技能的必要性与潜在风险范围
• 建立”默认拒绝”的安全决策习惯

使用说明

无需安装，直接按以下步骤执行：

1. 下载待检查的技能代码到本地目录
2. 在终端中进入该目录，运行以下grep命令排查风险：

   # 检查网络请求
   grep -r "curl\|wget\|http://\|https://" .
   # 检查命令执行
   grep -r "bash\|sh -c\|eval" .
   # 检查命令替换
   grep -r '\$(\|\`' .
   # 检查凭证访问
   grep -r "env\|credentials\|api.key\|token" .
   # 检查编码混淆
   grep -r "base64\|decode" .

3. 逐条回答清单中的五个核心问题
4. 任一环节存疑则放弃安装

输入与输出

见下方输入与输出表格。

风险提示

• 本清单依赖人工判断，无法自动拦截所有攻击
• 压缩或混淆代码应直接拒绝，不可心存侥幸
• 下载量和星级不能作为安全依据
• 社交工程攻击常伪装成”实用功能”

来源信息

原始链接：https://github.com/openclaw/skills/tree/main/skills/luluf0x/security-heuristics/SKILL.md
来源类型：GitHub仓库