book-tattoo

book-tattoo 是一款基于 MCP（Model Context Protocol）协议的纹身服务预约 Skill，通过连接 Lokuli 平台的 MCP 服务器，为用户提供从搜索、查档到预订的一站式纹身服务预约体验。

核心用法
该 Skill 通过 SSE 传输协议与 https://lokuli.com/mcp/sse 端点通信，提供三个核心工具：search 用于按邮编搜索附近纹身店，check_availability 查询特定日期时段的可预约状态，create_booking 则完成最终的预约下单。用户只需提供位置信息、期望日期和个人联系方式，即可在对话流中完成全流程操作。

显著优点
首先，作为纯文档型 Skill，其仅包含 Markdown 配置和 JSON 示例，无任何可执行代码，从根本上杜绝了代码注入和恶意脚本执行风险。其次，采用标准化的 MCP 协议，接口定义清晰，与具体实现解耦，便于维护和扩展。最后，功能闭环完整，覆盖了从发现服务到完成交易的全链路，用户体验流畅。

潜在缺点与局限性
Skill 本身虽然安全，但重度依赖 Lokuli 第三方 MCP 服务器的可用性和数据处理能力，一旦服务端故障或网络中断，功能将完全不可用。此外，来源等级为 T3（社区/个人），缺乏官方组织背书，长期维护和支持存在不确定性。数据隐私方面，用户姓名、电话、邮箱等敏感信息需传输至远程服务器存储处理，对隐私敏感用户可能存在顾虑。

适合的目标群体
主要面向有纹身需求的成年个人用户，特别是习惯线上预约、追求效率的都市年轻群体。适合初次尝试纹身需要查找评价好的工作室，或已有心仪纹身师需要快速预约档期的场景。

使用风险
常规风险包括：1) 网络性能依赖，远程 MCP 调用可能产生延迟；2) 第三方服务稳定性，Lokuli 平台的服务质量直接影响体验；3) 数据合规风险，个人信息上传至第三方服务器需符合当地数据保护法规；4) 无本地缓存机制，断网环境下完全不可用。

Book Tattoo 技能评估报告

核心用法

Book Tattoo 是一个基于 Lokuli MCP 服务器的纹身服务预约技能。用户可通过该技能在代理内直接搜索纹身店、查询服务可预约时段，并最终完成预约。技能提供了三个核心工具：search（按邮编和关键词搜索纹身服务提供商）、check_availability（检查指定服务在特定日期的可用时段）和 create_booking（提交包含客户姓名、邮箱、电话及预约时间的预订请求）。整个过程通过 HTTPS 和 JSON-RPC 2.0 协议与 lokuli.com 的 SSE 端点进行通信，实现了从发现到预订的一站式体验。

显著优点

• 流程集成度高：将搜索、可用性检查和最终预约整合在单一技能中，避免了用户在不同应用或网站间跳转的割裂感，显著提升了预约效率。
• 轻量化与零依赖：技能本身为纯 Markdown 提示词文件，不包含任何可执行代码或外部依赖库，因此不存在依赖项漏洞风险，部署和使用极为简便。
• 代码卫生状况良好：静态分析未发现危险函数、硬编码密钥或混淆代码。运行时行为完全由结构化的工具调用指令驱动，行为可预测，与声明功能高度一致。
• 降低使用门槛：用户只需提供简单的搜索条件（如邮编）即可开始，无需了解 Lokuli 平台的复杂 API 细节，代理自动处理后续交互。

潜在缺点与局限性

• 隐私保护严重缺失：create_booking 工具要求收集并传输客户的姓名、邮箱和电话号码等个人身份信息至第三方平台 lokuli.com，但技能文档未提供任何隐私政策、数据用途声明或用户同意机制。用户无法知晓其 PII 将如何被存储、使用或共享。
• 供应链来源不可验证：_meta.json 中记录的源码仓库 openclaw/skills 实际上不存在。技能的真实来源是个人开发者 edwardrodriguez703-design 的一个孤立仓库。这种来源不一致严重削弱了代码的可审计性和完整性验证能力。
• 强外部依赖与单点故障风险：技能的全部功能完全依赖于单一第三方服务 lokuli.com。如果该服务出现故障、进行 API 变更或停止运营，技能将彻底失效。同时，该平台的安全实践和数据处理政策不透明，用户数据一旦传出即进入不可控状态。
• 缺乏输入验证说明：技能文档未定义任何关于邮箱格式、电话号码字符集或邮编格式的输入验证规则。虽然这可能由服务端处理，但这种信息缺失可能导致无效请求被不负责任地发送，或增加客户端注入风险。

适合的目标群体

该技能极其适合追求便利性、希望快速在陌生区域找到并预约纹身服务的个人用户。对于不在意外部平台隐私政策细节，优先考虑操作便捷性的顾客，这个技能提供了一条捷径。然而，它不适合对数据隐私有高要求的用户，也不适合需要企业级合同和合规保障的商业使用场景。鉴于其 T3 （个人开发者） 的信任级别，不建议专业人士在未验证 lokuli.com 平台背景的情况下用作重要业务的唯一预约工具。

使用风险

• 常规风险：主要风险为 隐私泄露与数据滥用。用户的姓名、联系方式、预约时间（可推断行程）等敏感数据将流入一个缺乏透明度的第三方平台，存在被用于未经授权的营销、分析和数据泄露的潜在可能。其次是 服务可靠性风险，技能是单一第三方的一个薄封装，其服务的稳定性和持久性完全由 lokuli.com 决定。最后是 安全信任风险，从不可验证的个人开发者仓库获取技能并使用，增加了供应链攻击或包含未来恶意变更的理论几率。性能方面，由于技能逻辑极简，风险可忽略不计，延迟主要由网络和 Lokuli 服务端响应速度决定。