基于Shopify官方GraphQL Admin API的商店管理技能，提供产品、订单、客户等全链路数据操作能力，助力电商运营效率提升。

基本信息

• 技能名称?clawpify
• 中文名称?Shopify全链路数据智能管家
• 作者?Alhwyn
• 分类?开发
• 版本?v0.1.0
• 标签?e-commerce, api, data-analytics, operations, backend, product-management, finance-accounting

使用方法

使用说明
核心用法
clawpify 是一个面向 Shopify 电商平台的 GraphQL Admin API 管理技能，通过调用外部工具 shopify_graphql 实现商店数据的全面操作。该技能覆盖产品管理、订单处理、客户维护、库存调整、折扣促销、礼品卡、订阅服务等 20 余个业务模块，支持查询、创建、更新、删除等完整 CRUD 操作。使用时需遵循 GraphQL 标准语法，采用 gid://shopify/Resource/ID 格式的全局 ID，并通过 first / / after` 实现分页查询以处理大规模数据集。
显著优点
功能覆盖全面 ：涵盖 Shopify 生态的核心业务场景，从基础商品管理到高级订阅服务、多市场配置、客户分群等均有详细文档支持。 安全设计完善 ：明确标注 8 类危险操作（退款、订单取消、产品删除、库存调整等），强制要求用户显式确认，降低误操作风险。 查询示例丰富 ：提供可直接复用的 GraphQL 语句模板，包括订单列表、产品搜索、库存查询等高频场景，显著降低学习成本。 最佳实践指导 ：内置字段优化、分页策略、错误处理、批量操作等实用建议，帮助用户构建高效稳定的数据交互流程。
潜在缺点与局限性
纯文档型依赖 ：该技能本身无执行能力，完全依赖外部工具 shopify_graphql ，若工具实现存在缺陷或配置不当，将直接影响功能可用性和安全性。 无内置错误恢复 ：仅提供错误检查指引（区分 errors 与 userErrors ），未提供自动重试或降级机制，需用户自行实现容错逻辑。 权限管理间接 ：虽然文档强调危险操作需确认，但实际权限控制由外部工具和 Shopify API 令牌共同决定，存在配置复杂度高、权限边界模糊的问题。 性能瓶颈风险 ：大规模数据操作依赖分页和批量操作，但未提供流式处理或异步任务状态监控能力，超大数据集场景下可能遭遇超时或内存压力。
适合的目标群体
电商运营人员 ：需要日常管理产品目录、处理订单、调整库存、配置促销活动的 Shopify 店主或运营团队。 开发者与技术支持 ：为 Shopify 商店构建自定义集成、数据同步工具或自动化工作流的技术人员。 数据分析师 ：需要提取商店交易数据、客户行为数据、库存状态等进行商业分析的专业人士。 多店铺管理者 ：运营多个 Shopify 商店，需要标准化、可复用的查询模板和操作规范的企业用户。
使用风险
依赖项安全风险 ： shopify_graphql 工具的安全性未在本报告中评估，若该工具存在漏洞或恶意代码，可能导致 API 令牌泄露、数据篡改或越权操作。 API 令牌泄露风险 ：Shopify Admin API 令牌通常具有较高权限，若存储或传输不当，可能被利用进行未授权的数据访问或财务操作。 误操作不可逆风险 ：产品删除、退款、礼品卡停用等操作具有永久性，虽有确认机制，但用户理解偏差或社会工程攻击仍可能导致损失。 速率限制与稳定性 ：Shopify API 存在调用频率限制，高频操作可能触发限流，影响业务连续性；网络波动或 API 变更也可能导致服务中断。 数据一致性挑战 ：库存调整、订单状态变更等操作涉及多个系统状态同步，并发场景下可能出现竞态条件或数据不一致。

BSS A级认证的纯文档型测试技能，零代码执行风险，适合作为Skill系统开发与学习的安全基础模板。

基本信息

• 技能名称?test-skill
• 中文名称?安全极简的技能开发测试模板
• 作者?Unknown
• 分类?开发
• 版本?latest
• 标签?testing, development-engineering, docs, education-research

使用方法

使用说明
核心用法
Test Skill 是一个极简化的 Skill 系统示例，主要用于展示 Claude Code Skill 的基础文件结构和元数据配置规范。该技能仅包含纯 Markdown 文档和 JSON 配置文件，不执行任何实际的工具功能，主要作为开发者理解 Skill 骨架的入门模板和系统加载机制的测试基准。
显著优点
该技能最突出的优势在于其绝对的安全性架构。作为纯文档型资产，它完全摒弃了可执行代码、脚本文件或二进制程序，从根本上杜绝了代码注入、远程命令执行等常见安全风险。内容完全透明可审计，用户可直接查阅所有文件内容，无需担心隐藏的后门逻辑或恶意行为。此外，零外部依赖的设计使其具备极高的环境兼容性，不会因第三方服务变更或依赖库漏洞而失效，也杜绝了供应链攻击的可能性。
潜在缺点与局限性
功能单一化是该技能的主要短板。它仅提供最基础的文档展示，缺乏实际可用的业务功能，无法满足生产环境中的具体需求。Skill 描述较为简略，对于希望深入理解复杂交互逻辑的开发者而言参考价值有限。同时，作为测试用途的最小化示例，它未展示权限申请、API 调用、数据处理等高级特性，不适合直接作为生产级 Skill 的开发基础。
适合的目标群体
本 Skill 主要面向 Skill 生态系统的初学者和系统测试人员。对于刚接触 Skill 开发的工程师，它是理解文件组织规范（SKILL.md 格式、_meta.json 配置）的理想起点；对于平台维护者，它是验证 Skill 解析引擎是否正常工作的可靠测试用例。此外，计划开发纯文档型知识库 Skill 的开发者也可将其作为安全模板参考。
使用风险与注意事项
尽管技术层面获得 BSS A 级安全认证，仍需关注来源可信度风险。该 Skill 源自 T3 级个人开发者账号，长期维护支持和内容更新的持续性存在不确定性。此外，由于其功能过于简单，若被误用于生产环境的关键业务流程，可能导致功能缺失或运行异常。建议仅在隔离的测试环境或学习场景中使用，避免直接依赖其实际业务价值。

基于C++级浏览器内核补丁的隐身自动化工具，通过隔离容器运行Camoufox，可绕过Cloudflare、Airbnb等高级反爬检测，比JS注入方案更底层安全。

基本信息

• 技能名称?camoufox-stealth
• 中文名称?C++级反检测浏览器自动化
• 作者?kesslerio
• 分类?开发
• 版本?v1.0.0
• 标签?automation, testing, data-analytics, content-media, development-engineering, web-scraping

使用方法

使用说明
Camoufox Stealth Browser 是一款面向高级反爬场景的浏览器自动化解决方案，采用 C++ 级浏览器内核补丁技术，通过 distrobox 容器隔离运行，为数据工程师提供绕过 Cloudflare Turnstile、Datadome、Airbnb、Yelp 等高级防护机制的能力。
核心用法 方面，用户需在 pybox 容器中通过 python3.14 显式运行脚本。工具提供双模式：Camoufox 模式使用约 700MB 的定制 Firefox fork，在 C++ 层面 spoof WebGL、Canvas、AudioContext 等指纹，自动处理鼠标移动和时序随机化；curl_cffi 模式则针对纯 API 端点进行 TLS 指纹 spoofing，无需浏览器开销。会话管理支持命名 profile 持久化登录状态（存储于 ~/.stealth-browser/profiles/ ，权限 700/600），支持 cookie 导入导出和登录墙检测。
显著优点 在于其架构的底层安全性。与 puppeteer-stealth 等 JavaScript 运行时补丁不同，Camoufox 在编译期将指纹修改固化到 Firefox 内核，使反爬系统无法通过时序分析或原型链检测发现自动化痕迹。容器化部署确保宿主系统清洁，避免浏览器指纹污染本地环境。Firefox 基础相比 Chrome 更少被针对，且能自动通过 Cloudflare Turnstile 验证。
潜在局限 包括：必须配合住宅或移动代理才能访问 Airbnb/Yelp 等严格防护站点（数据中心 IP 会被即时封禁）；700MB 的初始下载体积；Python 版本敏感（必须使用 3.14，否则可能遭遇 greenlet 段错误）；以及作为 T3 来源项目的长期维护不确定性。此外，部分高级反爬系统仍需模拟人类行为模式（预热访问、随机延迟），并非完全"开箱即用"。
适用人群 主要为需要合法抓取受保护公开数据的数据工程师、竞品分析师、安全研究员，以及需要绕过 Cloudflare 挑战进行端到端测试的 QA 工程师。特别适合当标准 Playwright/Selenium 被识别封锁，且 puppeteer-stealth 等 JS 级方案失效的场景。
使用风险 包括：违反目标网站 ToS 的法律合规风险；住宅代理的持续运营成本；容器化带来的性能开销（相比原生浏览器约 10-15% 延迟增加）；以及会话持久化可能带来的隐私泄露风险（profile 目录包含敏感 cookie，需按凭证级别保管）。建议仅在合法授权或公开数据场景下使用，避免高频请求导致 IP 被封。

ClawdHub 官方安全扫描工具，用于检测技能中的恶意模式，但当前版本仅为文档描述，缺乏实际可执行代码。

基本信息

• 技能名称?security-skill-scanner
• 中文名称?ClawdHub 技能安全守门人
• 作者?anikrahman0
• 分类?开发
• 版本?v2.0.0
• 标签?security, devops, automation, testing, backend

使用方法

使用说明
核心用法
Security Skill Scanner 是一个面向 ClawdHub 技能生态的安全检测工具，设计目标是为技能安装提供前置安全扫描。根据 SKILL.md 描述，它支持多种使用场景：批量扫描所有已安装技能、针对特定技能进行深度检查、管理白名单以排除误报、监控 Moltbook 社区的安全讨论，以及生成带有 Isnad 信任链的权限清单。用户可通过命令行调用 Python 脚本执行扫描，或配置定时任务实现自动化监控。最突出的特性是预安装钩子（Pre-Install Hook），可在 molthub install 时自动拦截可疑技能，通过 --force 参数允许高级用户覆盖警告。
显著优点
该技能的设计理念具有前瞻性：将安全左移至安装阶段，而非事后审计。Regex 模式覆盖凭证窃取、命令注入、网络外泄等常见攻击向量，白名单机制减少误报对用户体验的干扰，Moltbook 监控则尝试建立社区驱动的威胁情报网络。权限清单的 Isnad 链设计体现了对软件供应链溯源的思考，JSON/Markdown 双格式报告兼顾机器解析与人工阅读。预安装钩子的集成方案（通过 shell 函数包装 molthub）在架构上较为优雅，无需修改核心工具即可增强安全能力。
潜在缺点与局限性
致命缺陷：当前版本仅为"僵尸技能" ——SKILL.md 详细描述了 skill-scanner.py、whitelist-manager.py、moltbook-monitor.sh 等核心文件的功能，但这些文件在目录中完全不存在。用户安装后将无法执行任何声称的功能，产生严重的期望落差。此外，纯基于正则的静态分析难以应对混淆代码、多态攻击等高级威胁；白名单的维护依赖人工判断，可能存在滞后性；Moltbook 监控的数据源质量和实时性未经验证；Isnad 链的信任锚定机制缺乏详细说明。
适合的目标群体
该技能理论上适合：ClawdHub 平台管理员、安全意识较强的终端用户、需要合规审计的企业环境。但由于功能缺失， 当前版本不推荐任何用户安装 。开发者若希望基于此框架实现真实功能，需补充完整的 Python 实现、测试用例、以及持续更新的威胁模式库。
使用风险

1. 功能不可用风险 ：安装后无法运行，浪费用户时间与信任。
2. 虚假安全感风险 ：用户可能误以为系统已受保护，降低对其他威胁的警惕。
3. 供应链风险 ：若未来版本补充代码，需重新评估其实现质量，尤其是预安装钩子的权限边界（是否以 root 运行？能否被绕过？）。
4. 维护风险 ：安全工具需要持续更新威胁情报，作者未承诺维护周期。
5. 集成风险 ：shell 函数包装方案可能与其他 molthub 封装工具冲突。

基于 Kaspa SDK 的自托管 CLI 钱包，支持 KAS 转账与余额查询，JSON 输出适配自动化代理，私钥环境变量隔离存储保障安全。

基本信息

• 技能名称?kaspa-wallet
• 中文名称?极速安全的 KAS 自托管钱包
• 作者?Manyfestation
• 分类?开发
• 版本?v1.0.0
• 标签?finance-accounting, automation, api, backend, cryptocurrency, blockchain

使用方法

使用说明
Kaspa Wallet Skill 是一款专为 Kaspa 区块链设计的轻量级自托管 CLI 钱包工具，基于 Kaspa Python SDK 构建，支持通过命令行界面完成 KAS 代币的转账、余额查询、支付 URI 生成及网络状态监控等核心操作。
核心用法
该 Skill 提供完整的 CLI 交互接口，用户可通过 ./kaswallet.sh 脚本执行各类钱包操作。主要功能包括：使用 balance 命令查询本地或任意地址的 KAS 余额；通过 send 命令向指定地址发送特定金额或全部余额（max），支持优先级费用设置；利用 uri 生成符合 BIP21 标准的 kaspa: 支付链接；借助 info 和 fees 获取网络同步状态与实时费率估算；以及通过 generate-mnemonic 创建新的 24 词助记词。所有操作均返回结构化 JSON 数据，便于程序化解析。
显著优点
作为自托管解决方案，该工具将私钥与助记词完全交由用户掌控，通过环境变量注入凭证，避免在磁盘或日志中留存敏感信息，安全性优于托管钱包。JSON 输出格式使其天然适配自动化代理与脚本集成，适合构建支付机器人或财务自动化流程。针对 Kaspa 的 UTXO 模型特性，工具内置了 UTXO 合并（consolidate）工作流，可自动解决存储质量超限（Storage Mass Exceeded）错误。轻量级的 Python 实现支持跨平台部署，仅需 Python 3.8+ 环境即可运行。
潜在缺点与局限性
尽管功能完备，该工具仍存在一定局限。首先，其依赖的 kaspa PyPI 包尚未经过官方安全审计，且 requirements.txt 未锁定版本号，存在供应链安全风险。其次，纯 CLI 界面对非技术用户不够友好，缺乏图形化界面与交易历史可视化功能。此外，工具要求用户自行管理 RPC 节点连接（默认使用公共节点），在网络不稳定时可能出现超时。目前仅支持单地址管理，缺乏多账户体系与硬件钱包集成能力。
适合的目标群体
该 Skill 主要面向三类用户：一是开发者与 DevOps 工程师，需要在其自动化流程中集成 KAS 支付功能；二是 Kaspa 生态的高级用户，偏好自托管方案且具备命令行操作能力；三是 AI Agent 与机器人开发者，可利用其 JSON 接口构建自动化的加密货币支付代理。对于需要高频查询余额或执行批量转账的运营团队亦具有实用价值。
使用风险
使用该技能需注意以下风险：RPC 连接依赖外部网络节点，存在网络延迟或节点不可用的可用性风险；私钥通过环境变量传递，在多用户服务器上需防范进程间嗅探；Kaspa 的 UTXO 机制可能导致小额转账失败，需理解存储质量概念并掌握合并操作；依赖项的供应链安全需自行评估，建议在生产环境锁定具体版本并审查代码。