（11898期）github-automation-pro – 代码不可审计的 GitHub 自动化工具

代码不可审计的 GitHub 自动化工具 SkillForge 提供的 GitHub 自动化工具，支持 Issue/PR/Release 管理，但代码重度混淆且采用加密货币支付，存在显著安全风险。 使用说明 核心用法 SkillForge GitHub Automation Skill 是一款面向开发团队的 GitHub 工作流自动化工具，基于 OpenClaw 框架构建。用户通过 npm 安装后，使用 SkillConfigBuilder 配置 GitHub Token 和 License Key，即可调用统一的 execute 接口完成各类操作。核心功能覆盖三大场景：Issue 自动化（创建、筛选、更新、智能标签建议）、PR 审查辅助（变更统计、冲突检测、审查清单生成）、Release 自动化（版本发布、自动生成 Release Notes）。此外还提供仓库健康度评分、Rate Limit 监控等分析能力。技能采用分级授权模式，Lite/Pro/Enterprise 三档定价分别为 USDT 20/50/200，功能逐层解锁。 显著优点 功能集成度较高，将分散的 GitHub 操作封装为统一 API，降低脚本编写成本。支持 TypeScript，类型定义完整，IDE 体验友好。Release Notes 自动生成、PR 摘要分析等功能对中大型团队有一定实用价值。文档结构清晰，示例代码丰富，上手门槛相对较低。 潜在缺点与局限性 致命缺陷在于代码完全不可审计：所有核心代码经 javascript-obfuscator 重度混淆，采用控制流扁平化、字符串数组替换等技术，无法验证实际行为是否与文档一致。商业授权模式极不透明，仅接受 USDT (TRC-20) 加密货币支付，通过 Telegram 私人渠道交易，无正规商业实体背书。功能层面，Lite 版阉割严重，Webhook 触发、多仓库支持等关键功能锁在高端版本，性价比存疑。 适合的目标群体 不建议任何用户在生产环境使用。仅限以下场景在严格隔离条件下评估：个人开发者学习自动化工具设计思路；安全研究人员分析混淆代码样本；已充分理解风险、愿意在沙箱环境测试功能边界的用户。企业团队、处理敏感代码仓库的开发者、需要合规审计的场景应完全回避。 使用风险 安全风险极高：混淆代码可能隐藏恶意逻辑，GitHub Token 虽声称本地处理但无法验证；依赖中包含 Puppeteer（高权限浏览器自动化）和 Supabase（第三方数据库），存在数据外传通道。商业风险：加密货币支付无退款保障，Telegram 渠道缺乏纠纷解决机制。合规风险：核心代码禁止反编译的声明与 MIT License 存在冲突，法律边界模糊。运维风险：代码不可维护，出现问题无法自行排查修复。 原始说明 Automate GitHub tasks including advanced issue management, PR analysis, release creation with notes, repo stats, webhook triggers, and email support.