核心用法
skill-review 是一款面向 ClawHub 平台开发者的自动化安全审查工具。其主要功能包括：遍历本地 ~/Developer/Skills 目录下的所有 Skill 项目，自动访问 ClawHub 官方页面提取安全扫描数据，整合 VirusTotal 恶意软件检测结果与 OpenClaw 安全评级，最终生成一份结构化的 Markdown 汇总报告。
使用流程简洁直观：通过命令行指定 Skill 目录和 ClawHub 用户名，工具即可自动完成页面爬取、数据解析与报告生成。对于本地文件夹名称与 ClawHub slug 不匹配的情况，支持通过 --slug-map 参数传入 JSON 映射文件，确保灵活适配各类项目结构。
显著优点
该 Skill 在工程实践层面展现出多项优势。技术架构上采用 Playwright 进行浏览器自动化，相比传统 HTTP 请求能完整渲染动态内容，确保数据抓取的准确性。安全设计方面，API 密钥严格通过环境变量或 ~/.openclaw/.env 文件读取，杜绝硬编码风险；网络请求限定于 clawhub.ai 和 virustotal.com 官方端点，全程采用 TLS 1.2+ 加密传输。
代码质量同样值得称道：Python 代码结构清晰，配备完整的类型注解与文档字符串，错误处理机制完善，未发现 eval/exec/system 等危险函数调用。静态分析得分 85 分，动态行为分析 80 分，整体安全评级达到 A 级（82 分）。
潜在缺点与局限性
作为一项浏览器自动化工具，其运行依赖外部组件 Playwright 与 Chromium，需执行额外安装步骤（python3 -m playwright install chromium），对环境配置有一定要求。浏览器进程的内存占用相对较高，在资源受限环境中可能影响性能。
功能设计层面，工具支持的 suppressions.json 机制允许用户标记某些安全发现为"已确认"状态，虽属合理功能设计，但若配置不当可能掩盖真实风险，需要用户保持警惕。此外，当前版本未明确声明开源许可证，依赖版本也未强制锁定，存在潜在的维护风险。
适合的目标群体
本工具主要面向三类用户：一是管理多个 Skill 项目的开发者，需要定期批量审查安全态势；二是安全审计人员，需生成标准化报告供团队评审；三是 CI/CD 流水线集成场景，希望将安全扫描结果汇总纳入自动化工作流。对于仅维护单个 Skill 的开发者，直接访问 ClawHub 页面可能更为便捷。
使用风险与注意事项
常规风险包括依赖管理与运行环境两方面。依赖方面，Playwright 和 Chromium 的版本漂移可能导致兼容性问题，建议通过 requirements.txt 锁定版本。运行环境方面，需确保 ~/.openclaw/.env 文件权限设置为 600，防止 API 密钥泄露。
网络层面，工具遵循 VirusTotal API 的速率限制（4 请求/分钟），但对 ClawHub 页面访问暂无明确限流，高频使用可能对服务器造成压力。建议用户合理控制扫描频率，避免在短时内重复执行。
整体而言，这是一款来源可信、设计规范的安全辅助工具，适合纳入 Skill 开发者的常规安全审查流程，但需注意依赖安装与环境配置的正确性。