（13319期）clawhub-skill-publisher – 安全自动化的Skill发布管家

安全自动化的Skill发布管家 OpenClaw官方维护的Skill发布工具，支持非交互式Token登录与预检安全扫描，实现CI/CD自动化发布流程。 使用说明 核心用法 ClawHub Skill Publisher 是面向 Bot 和 Agent 团队的自动化发布工具，主要提供两大核心功能：单 Skill 发布与批量同步。用户通过 publishskill.sh 脚本可将本地单个 Skill 目录发布至 ClawHub 平台，支持从 package.json 和 meta.json 自动推断元数据，也可通过命令行参数手动指定 slug、名称、版本等信息。sync_skills.sh 则用于批量同步整个本地 Skills 目录，适合多 Skill 项目的持续集成场景。 该工具采用非浏览器 Token 登录机制，优先从环境变量 CLAWHUB_TOKEN 或 ~/.openclaw/.env 文件读取凭证，完全规避了交互式登录的繁琐流程。发布前自动执行预检安全扫描，包括 ASCII/CJK 字符检测与密钥泄露检测，确保发布内容符合平台安全策略。 显著优点 自动化与确定性：彻底消除手动复制粘贴导致的发布错误，支持 --dry-run 预览模式，让发布流程可预测、可重复。 安全设计完善：Token 值全程不打印到日志，敏感文件（如 .env）被强制阻止上传，内置多种密钥模式检测（ClawHub Token、HuggingFace Token、OpenAI API Key 等），从源头防止凭证泄露。 CI/CD 友好：非交互式设计完美适配自动化流水线，支持无人值守的持续发布场景。 灵活的工作流支持：既满足单 Skill 精细化发布需求，也支持批量同步的高效运维模式。 潜在缺点与局限性 外部依赖约束：必须预先安装 clawhub CLI 工具和 python3 环境，在隔离网络或受限环境中部署存在门槛。 平台锁定：专为 ClawHub 生态设计，无法直接迁移至其他 Skill 市场或平台。 CJK 内容限制：默认策略阻止中文等非 ASCII 字符上传，虽可通过 --allow-cjk 覆盖，但可能增加合规风险。 Token 管理责任：工具本身不提供 Token 轮换或权限管理功能，用户需自行保障凭证生命周期安全。 适合的目标群体 Agent/Bot 开发团队：需要频繁迭代和发布 Skills 的技术团队 DevOps 工程师：构建 CI/CD 流水线，实现自动化发布的运维人员 开源 Skill 维护者：追求发布流程标准化、降低人为失误的独立开发者 企业级平台运营：管理大量内部 Skills，需要批量同步能力的组织 使用风险 供应链风险：依赖 clawhub CLI 的更新与维护，若官方工具出现 breaking change 可能影响发布稳定性。 凭证泄露风险：尽管工具内置多重防护，但 Token 存储于环境变量或文件仍存在被其他进程读取的潜在风险，建议配合专用服务账户与最小权限原则使用。 预检策略误报：严格的密钥检测模式可能将合法内容误判为敏感信息，需理解 --allow-cjk 等覆盖选项的适用场景。 网络依赖：发布操作需连接 ClawHub 服务端，网络波动或平台服务中断将直接影响发布可用性。 原始说明 Publishes and syncs local bot skills to ClawHub using non-browser login, preflight safety checks, and automated release scripts for single or batch workflows.