第三方技能 = 不可信代码:装之前必做的审计清单
一、先说个场景 你在 ClawHub 看到一个叫 auto-inbox-cleaner 的技能,描述很诱人:”自动清理你的收件箱,智能归档旧邮件。”你随手 openclaw skills install @someone/auto-inbo
一、先说个场景 你在 ClawHub 看到一个叫 auto-inbox-cleaner 的技能,描述很诱人:”自动清理你的收件箱,智能归档旧邮件。”你随手 openclaw skills install @someone/auto-inbo
一、先说个场景 你写了一个很好用的 Skill:它能把周报 Markdown 自动整理成三段式,还能生成邮件草稿。同事看了也想要,于是你把整个目录打包发给他。第二天他又来问:”更新了吗?””和另一个同名 skill 冲突怎么办?””我怎么知
一、先说个场景 你让 OpenClaw 帮你做一个”每周总结邮件”的技能。几分钟后,它直接在你的 workspace skills 目录里写了一堆文件,你一看:路径写死了、描述太模糊、还顺手删了你旧的模板。这种”agent 写 skill
一、先说个场景 你在群里给 OpenClaw 发了一句 /status v1.2.0,希望它立刻返回当前系统的部署状态。结果模型开始”思考”:”用户是不是在问状态?我应该调用哪个工具?参数是什么?”三秒钟后,它才慢悠悠地执行。对于一个已经语
一、先说个场景 你写了三四个 Skill,装了七八个 ClawHub 技能,日子久了发现:有的 skill 不想让它加载,有的只想给某个 agent 用,有的需要配 API Key,还有的想从公司公共仓库额外加载。这些事情不能都靠目录结构解
一、先说个场景 你写了一个调用 Gemini API 的技能,把 GEMINI_API_KEY=xxxxx 直接写进了 SKILL.md 正文。过了几天同事提醒你:你把密钥上传到 Git 仓库了。你赶紧删,但已经无法保证密钥没有泄露。 另一
一、先说个场景 你写了一个 Skill,想让 agent 帮你把 Markdown 转成 HTML。于是你在 SKILL.md 正文里详细写了每一段 sed/awk 命令。结果发现:换一台电脑用户名不一样,路径全错;Windows 上没有
一、先说个场景 你写了一个调用 gemini CLI 的技能,兴冲冲地发给同事。结果同事装上后一聊,OpenClaw 报错了:”找不到 gemini 命令”。原来他机器上根本没装 Gemini CLI。如果能在技能加载前就判断”依赖是否满足
一、先说个场景 你在 ~/.openclaw/skills/ 全局目录里装了一个 weather,又在某个 workspace 的 skills/ 目录里自己写了一个也叫 weather 的 skill。结果聊天里让 OpenClaw 查天
一、先说个场景 你好不容易把 hello-world 跑通了,但发现 slash 命令里没出现自己的 skill;或者你希望某个 skill 只在用户主动 /skill 时才触发,不要让 agent 自己乱用;又或者你想做一个固定命令,让