crawsecure

核心用法

CrawSecure 是一款面向 ClawHub / OpenClaw 生态的离线安全分析工具，采用"文档引导 + 外部 CLI"的混合模式运作。用户通过阅读 SKILL.md 了解安全风险识别方法，随后手动执行 npx crawsecure ./path-to-skill 命令调用独立的安全扫描工具。该技能本身不执行任何代码，仅提供安全理念教育和使用指引，真正的扫描工作由用户自主控制的 npx 命令完成。

显著优点

极致安全设计：遵循"只读分析、无网络访问、无代码执行、无文件修改"四大安全原则，从根本上杜绝了技能本身成为攻击载体的可能。透明可审计：纯 Markdown 文档结构，内容完全公开可查，用户可逐行审查其安全声明。生态价值独特：填补了 ClawHub 第三方技能安装前的安全评估空白，提升整个生态的信任度。零依赖负担：无动态代码加载、无远程脚本获取、无复杂依赖链，避免了供应链攻击风险。教育意义：不仅是工具，更是安全意识培养材料，帮助用户建立风险识别能力。

潜在缺点与局限性

手动操作门槛：需要用户主动运行 npx 命令，无法自动化集成到安装流程中，对非技术用户不够友好。功能边界模糊：技能本身与外部 CLI 工具的职责划分需用户自行理解，可能产生"安装 skill 即可获得保护"的误解。T3 来源限制：个人开发者账号发布，缺乏组织背书，在企业合规场景中接受度有限。扫描能力未知：文档未披露具体检测规则、覆盖范围或误报率，实际效果依赖外部工具实现。生态依赖性强：价值完全绑定 ClawHub/OpenClaw 生态，通用性不足。

适合的目标群体

技术型 ClawHub 用户：具备命令行操作能力，重视第三方代码安全的开发者。安全研究人员：需要分析技能安全模式、研究生态风险的研究者。企业安全团队：评估内部技能引入风险的安全工程师（需接受 T3 来源）。开源贡献者：希望为 ClawHub 生态安全建设出力的社区成员。

使用风险

npx 供应链风险：实际扫描依赖 crawsecure npm 包，需自行验证包来源和完整性。认知偏差风险：用户可能误以为安装 skill 即获得保护，忽视手动执行步骤。覆盖盲区风险：文档未明确说明检测规则，高危模式可能漏检。更新滞后风险：个人维护项目，安全规则更新频率不确定。

核心用法

CrawSecure 是一款面向 ClawHub/OpenClaw 生态的离线安全分析 Skill，核心功能是帮助用户在安装第三方 Skill 前识别潜在风险。用户通过阅读 Skill 提供的文档指引，手动运行 npx crawsecure ./path-to-skill 命令，即可对目标 Skill 的本地文件进行静态分析。Skill 本身不执行任何代码，仅作为安全扫描 CLI 工具的使用说明存在。

显著优点

1. 零信任安全设计：严格遵循"只读分析、无网络访问、不执行代码、不修改文件"四大原则，从根本上杜绝了 Supply Chain Attack 的攻击面。

2. 透明度高：功能边界极其清晰，所有风险信号（危险命令模式、敏感文件引用、不安全实践指标）均明确列出，用户可自主判断。

3. 静态分析表现优异：CLS-Certify 雷达扫描显示，静态代码分析得分 95/100，无可执行代码、无危险函数、无敏感信息泄露。

4. 隐私友好：零用户数据收集，无权限申请，完全符合最小权限原则，GDPR/CCPA 合规。

5. 依赖纯净：零第三方依赖，彻底规避了依赖供应链风险。

潜在局限

1. 功能仅为文档层：Skill 本身不封装实际扫描逻辑，真正的安全扫描由外部 CLI 工具 crawsecure 完成，用户需自行验证该工具的可信度。

2. T3 来源级别：维护者为个人开发者账号 diogopaesdev，未经知名组织或顶级开源基金会背书，信任基础相对薄弱。

3. 动态行为受限：由于无可执行代码，无法提供自动化、一键式的集成体验，依赖用户手动操作。

4. 威胁情报评分偏低：CLS 雷达显示威胁情报维度得分 65/100，主要受限于个人开发者来源。

适合人群

• 对第三方 Skill 安全性有顾虑的谨慎型用户
• 需要在隔离环境中预检 Skills 的企业安全团队
• 希望理解 ClawHub 生态安全机制的开发者和审计人员
• 愿意手动执行命令、具备基本终端操作能力的用户

常规风险

• 来源可信度风险：T3 级别个人开发者，建议结合 GitHub 提交历史、社区反馈综合评估。
• CLI 工具信任链：npx crawsecure 实际执行的是第三方 npm 包，需独立审计其源代码和行为。
• 误报与漏报：静态分析无法覆盖所有运行时攻击向量，扫描结果不代表绝对安全保证。
• 更新滞后：若 CLI 工具本身存在漏洞，Skill 文档可能未及时同步安全建议。