Clawhub Local

核心用法

ClawHub CLI 是一款面向 OpenClaw 生态的 Node.js 命令行工具，用于管理 AI 技能的完整生命周期。安装后，用户可通过统一接口完成技能的发现、获取、版本控制和发布。

主要功能模块：

• 搜索发现：clawhub search <keyword> 支持语义化技能检索
• 精准安装：支持版本锁定（--version）和自定义目录（--dir）
• 智能更新：基于哈希比对实现增量更新，--force 强制覆盖，--no-input 支持自动化流水线
• 一键发布：内置身份验证流程，支持元数据完整配置（slug、版本、变更日志）

配置灵活性：

• 注册表地址可通过 CLAWHUB_REGISTRY 环境变量或 --registry 参数覆盖
• 工作目录支持 CLAWHUB_WORKDIR 环境变量及 --workdir 参数调整

显著优点

1. 生态整合：深度集成 OpenClaw 运行时，自动识别工作空间上下文
2. 版本管理：语义化版本控制，支持精确回滚和批量更新策略
3. 自动化友好：非交互式标志（--no-input、--force）适配 CI/CD 场景
4. 去中心化支持：可切换私有注册表，满足企业内网部署需求

潜在局限

• Node.js 依赖：运行时绑定 npm 生态，对纯 Python/Go 环境用户增加维护成本
• 哈希匹配机制：本地修改可能与远程版本产生冲突，需手动 --force 介入
• 发布权限：依赖 clawhub.com 账号体系，离线环境无法完成认证流程

适合人群

• OpenClaw 框架开发者和高级用户
• 需要构建内部技能仓库的企业技术团队
• 追求技能版本一致性的多机协作开发者

常规风险

| 风险类型 | 说明 | 缓解建议 |

|---------|------|---------|

| 供应链安全 | 从公共注册表安装未审计技能 | 优先使用 `--registry` 指向私有镜像 |

| 版本冲突 | 强制更新可能覆盖本地调试修改 | 更新前执行 `clawhub list` 确认状态 |

| 凭证泄露 | `login` 命令可能留存会话令牌 | 避免在共享环境执行认证操作 |

核心用法

ClawHub CLI 是一个 npm 全局包，用于管理 OpenClaw 生态中的 Agent Skills。主要功能包括：

| 功能 | 命令示例 |

|------|---------|

| 搜索技能 | `clawhub search "postgres backups"` |

| 安装技能 | `clawhub install my-skill [--version 1.2.3]` |

| 更新技能 | `clawhub update my-skill [--all] [--force]` |

| 列出已安装 | `clawhub list` |

| 发布技能 | `clawhub publish ./folder --slug my-skill --version 1.0.0` |

认证流程：clawhub login → clawhub whoami

关键配置：

• 默认注册表：https://clawhub.com（可通过 CLAWHUB_REGISTRY 或 --registry 覆盖）
• 默认安装目录：./skills（可通过 --workdir / CLAWHUB_WORKDIR 覆盖）
• 更新机制：基于本地文件哈希匹配版本，自动升级到最新版（除非指定 --version）

显著优点

1. 零代码风险：本 Skill 为纯 Markdown 文档型，无可执行代码，SAST/DAST 扫描均满分通过
2. 功能完整：覆盖 Skill 全生命周期管理（搜索→安装→更新→发布）
3. 版本灵活：支持精确版本锁定和批量更新
4. 非交互友好：--no-input --force 标志支持自动化 CI/CD 场景

潜在缺点/局限性

1. 外部依赖：需预装 Node.js/npm 环境，对非 JS 生态用户有门槛
2. T3 来源：发布者为个人开发者（andy27725），非官方团队背书
3. 网络依赖：实际 CLI 操作需连接 clawhub.com 注册表（中国用户可能存在访问问题）
4. 无签名验证：当前版本缺乏代码签名机制，建议自行审计发布内容

适合人群

• OpenClaw/Claude Code 用户需要动态扩展 Agent 能力
• 开发者计划发布自定义 Skill 到 ClawHub 平台
• 团队需要集中管理多版本 Skill 的 DevOps 场景

常规风险

• npm 全局安装权限风险（建议配合 npx 或容器化使用）
• 注册表被劫持或 DNS 污染风险（可配置私有镜像）
• Skill 版本锁定过旧导致安全漏洞累积（建议定期 update --all）