核心用法
npm-registry skill 通过 ClawLink 集成平台，为用户提供完整的 npm 生态数据访问能力。用户需先安装 clawhub:clawlink-plugin 插件，完成设备配对后，在 ClawLink 仪表板连接 npm 服务即可使用。
操作流程：
1. 安装插件 → 重启会话 → 调用 clawlink_begin_pairing 获取配对 URL
2. 用户浏览器完成授权 → 调用 clawlink_get_pairing_status 确认
3. 访问 claw-link.dev/dashboard?add=npm 连接 npm 服务
4. 使用 clawlink_list_tools 动态发现可用工具
5. 执行前调用 clawlink_describe_tool 查看参数，敏感操作需 clawlink_preview_tool 预览
功能覆盖：包搜索、元数据/版本查看、下载统计（点查或区间）、安全公告与注册表健康检查。
显著优点
- 零配置体验：ClawLink 托管 OAuth 流程，无需本地存储 npm API 密钥
- 动态工具发现：工具列表实时获取，随 ClawLink 平台能力扩展自动更新
- 安全执行模型：
askBefore/safeDefaults机制、preview_tool前置确认，降低误操作风险 - 凭证隔离：设备凭证仅存储于本地插件配置，不暴露于对话上下文
潜在局限
- 依赖第三方平台：ClawLink 服务可用性直接影响功能；若其服务中断，skill 完全不可用
- 权限边界模糊：文档未明确说明 ClawLink 以何种权限（public registry vs. private packages）访问 npm
- 网络闭环：必须外跳浏览器完成授权，无法纯 CLI 自动化
- 工具黑箱：实际可用工具、数据新鲜度、API 限流策略均未公开
适合人群
- 需要快速查询 npm 包信息、下载趋势、安全公告的前端/Node.js 开发者
- 不愿管理 API 凭证、偏好托管式集成的团队
- 在 OpenClaw 生态内寻求统一工具调用体验的用户
常规风险
- 供应链信任：ClawLink 作为中间层，理论上可观测或篡改请求/响应
- 凭证泄露：虽本地存储，但插件配置文件的访问控制取决于 OpenClaw 实现
- 误操作风险：
write类工具存在（如 token 删除），需严格遵守askBefore确认流程 - 数据准确性：下载统计、公告信息经 ClawLink 缓存层，可能存在延迟