flexible-data-importer

OpenClaw Data Importer 是一款面向开发者的 AI 驱动数据摄取工具，专注于解决异构数据格式快速入库的痛点。用户只需通过 CLI 命令 data-importer <file-path> 或 API 调用 UniversalImporter.execute()，并提供 Supabase 项目 URL 和 Service Role Key，即可自动完成从 CSV、JSON、XLSX 文件到结构化数据库的完整 ETL 流程。该工具的核心在于其智能模式生成能力：通过 LLM 分析数据特征，自动推断字段类型（如字符串智能转换为日期或数值）、识别表间关系，并生成优化的 Supabase 数据库结构，无需人工预先定义表结构。批量上传功能确保大型历史数据集能够稳定导入，避免内存溢出。

该 Skill 的显著优势在于其零配置理念和开发效率提升。自动模式生成消除了传统 ETL 工具繁琐的 schema 定义步骤；类型安全机制减少了数据清洗的人工干预；对多种主流格式的原生支持降低了集成复杂度。对于快速原型开发、内部数据迁移或轻量级数据仓库建设场景，能够大幅缩短从原始数据到可用数据库的交付时间。

然而，该工具存在明显的安全与可靠性局限。最突出的问题是依赖的高危漏洞：底层使用的 xlsx@0.18.5 包存在 Prototype Pollution（GHSA-4r6h-8v6p-xvw6，CVSS 7.8）和正则表达式拒绝服务（GHSA-5pgg-2g8v-p4x9，CVSS 7.5）漏洞，且当前暂无可用修复版本。此外，作为 T3 来源（个人开发者）项目，代码审计和长期维护存在不确定性。功能层面，错误处理机制文档不够详尽，且需要用户暴露高权限的 Supabase Service Role Key。

该 Skill 适合具备一定安全意识的开发者、数据工程师以及需要快速验证数据产品的初创团队使用。特别适用于内部工具开发、一次性数据迁移、测试环境构建等对安全要求相对宽松的场景。

使用过程中需警惕多重风险：处理来自不可信来源的 XLSX 文件可能导致原型污染攻击；依赖漏洞在 Node.js 环境中可能被利用于拒绝服务；Supabase Service Role Key 的泄露将导致数据库完全暴露；大文件处理可能引发内存或性能问题。建议在隔离环境（如 Docker 容器）中运行，严格审查输入文件来源，并监控 xlsx 包的更新动态。

核心用法

OpenClaw Data Importer Skill 是一款 AI 驱动的数据导入工具，专为需要将 CSV、JSON 或 XLSX 格式的历史或实时数据快速导入结构化数据库的用户设计。其核心机制是“智能模式推断”(Auto-Schema)：用户无需预先定义表结构，技能会自动分析文件内容，识别字段类型（如日期、数字），建立起对应的数据表，并通过 Supabase 的 API 将数据批量写入。在导入过程中，它还会尝试推断不同数据集之间存在的关系。

显著优点

1. 零配置快速启动：告别手动建表和定义数据类型，极大地缩短了数据准备时间，让业务分析师也能直接上手。
2. 格式兼容性强：整合了 csv-parser 和 xlsx 等成熟库，几乎覆盖了所有常见的表格类数据交换格式，减少了格式转换的麻烦。
3. 批量与安全并重：采用批量上传机制，能够稳定处理包含数十万条记录的大型历史数据集，避免了因单次请求过大导致的内存溢出或程序崩溃。
4. 类型安全保障：基于 Zod 进行运行时类型验证与转换，确保入库后的数据格式符合预期，减少了后续查询时的类型错误。

潜在缺点或局限性

1. 来源可信度受限：该技能的维护者是个人开发者（sschepis），在 npm 上的包发布仅数月，且其 GitHub 仓库无法公开验证，长期维护和稳定性存在不确定性。
2. 对 Schema 推断的依赖风险：对于结构混乱、包含大量嵌套或不规则数据的文件，自动推断的 Schema 可能不够精确，有时仍需人工介入修正。

适合的目标群体

• 数据分析师与数据工程师：需要频繁、快速地将外部数据源（如调查结果、日志文件）导入数据库进行集中分析的团队。
• 初创团队与个人开发者：缺乏专门的 ETL 工程师，希望以最小成本搭建数据管道的项目。
• Supabase 生态用户：已经或计划使用 Supabase 作为后端，希望简化从数据文件到数据库这一环节的开发者。

潜在常规风险

• 数据库写入性能风险：虽然支持批量上传，但初次将超大规模文件导入 Supabase 时，仍可能面临速率限制或数据库连接超时，需要合理规划上传策略。
• 账户安全与成本风险：需要通过环境变量提供 Supabase 的 Service Role Key 和 OpenAI 的 API Key，若管理不善（如明文写在代码中或错误配置的 .env 文件被提交），可能导致服务账户被滥用或产生未经预期的费用。
• 依赖包供应链风险：虽然技能本身的元数据清洁，但其实际的执行代码位于 npm 包内。尽管目前依赖项安全，但仍需警惕未来可能出现的供应链攻击或新发现的 CVE，特别是 xlsx 库历史上曾出现过安全漏洞。