（2572期）Security Scan – 快速代码安全审查 · 保守风险评估

快速代码安全审查 · 保守风险评估 轻量级代码安全扫描工具，快速识别危险模式、硬编码凭据与风险权限，提供保守的风险评估与建议 使用说明 核心用法 security-scan 是一款面向 OpenClaw skill 及小型代码仓库的轻量级安全审查工作流。用户通过调用 scripts/scan.sh 脚本对目标目录执行快速静态扫描，获取风险摘要与后续行动建议。 典型使用场景 发布前技能自审：检查待发布 skill 是否包含危险代码模式 安装前第三方审查：评估外部 skill 的安全性后再决定是否信任安装 快速 sanity check：对任意代码目录进行轻量化安全体检 执行流程 明确审查范围：确认目标目录、审查目的（发布/安装/快速检查） 运行快速扫描：bash scripts/scan.sh /path/to/target 人工复核结果：结合上下文判断匹配项是误报、可疑还是高危 给出实用结论：按「Low risk / Needs review / High risk」分级输出 建议后续行动：从「直接安装」到「升级沙盒深度分析」形成行动清单 显著优点 开箱即用：单脚本依赖，无需复杂环境配置 审查导向：强调「人工复核」环节，避免自动化误判 保守诚实：明确声明能力边界（无沙盒、无网络抓包、无 CVE 数据库），不夸大扫描覆盖率 结构化输出：提供紧凑的扫描报告模板，便于记录与分享 风险分级实用：三级风险 + 置信度标注，降低决策成本 潜在缺点与局限性 基于启发式规则：grep 风格匹配必然产生误报与漏报 无动态分析：无法捕获运行时的恶意行为（如加解密后的 payload 执行） 无外部情报：不联网查询 CVE、不验证依赖链完整性 英文输出：报告模板与脚本提示为英文，中文用户需额外处理 权限检查有限：仅覆盖 world-writable 文件，未涉及 SUID、Capabilities 等高级权限 适合人群 Skill 开发者：在发布前进行自我审查，提升代码可信度 安全 cautious 的用户：安装第三方 skill 前的快速把关 DevOps/平台运营：对批量 skill 进行初筛，识别明显高危项后人工深度审计 常规风险 过度信任扫描结果：用户可能将「Low risk」误解为「绝对安全」，忽视后续手动审查建议 忽略置信度标注：未注意「Confidence: Low」而基于薄弱证据做决策 供应链盲区：扫描不覆盖依赖下载环节，恶意依赖仍可能进入运行环境 脚本本身被篡改：若 scan.sh 被植入后门，扫描即成为攻击载体（建议校验脚本哈希） 原始说明 Security review workflow for OpenClaw skills and other small code folders. Use when auditing a skill before publishing or installing it, checking for dangero...