Clawdbot核心补丁，精准修复语音备忘录TTS自动回复失效问题，恢复Discord语音消息的自动语音合成功能。

基本信息

• 技能名称?discord-voice-memo-upgrade
• 中文名称?语音备忘录TTS自动修复方案
• 作者?koto9x
• 分类?开发
• 版本?v1.0.0
• 标签?content-media, development-engineering, backend, automation, discord, voice

使用方法

使用说明
Discord Voice Memo Upgrades 是针对 Clawdbot（亦称 Moltbot）的专用核心补丁，旨在解决语音备忘录无法触发 TTS（文本转语音）自动回复的技术故障。该 Skill 并非传统意义上的插件扩展，而是一套包含详细文档和补丁文件的修复方案，通过精准修改核心模块的流式传输逻辑，确保语音消息能够正常触发语音合成响应。
核心用法 方面，用户需要将补丁文件手动部署至 Clawdbot 安装目录，替换 dispatch-from-config.js 和 tts.js 两个核心文件。补丁通过检测入站消息是否包含音频附件、TTS 自动模式配置状态以及 API 密钥有效性，智能判断是否临时禁用块流式传输（block streaming）。当检测到语音消息且满足 TTS 触发条件时，系统会确保最终完整的文本 payload 能够送达 TTS 合成管道，而非被流式优化机制截断。
显著优点 包括：精准定位并修复了块流式传输与 TTS 管道的兼容性问题；提供了详尽的调试日志，便于开发者追踪 [TTS-DEBUG] 、 [TTS-APPLY] 和 [TTS-SPEECH] 等关键节点的执行状态；补丁逻辑非侵入式，仅在必要时禁用流式传输，不影响常规文本消息的流式响应体验；同时提供了完整的备份和回滚脚本，降低了操作风险。
潜在缺点与局限性 不容忽视：首先，该方案需要直接修改 Clawdbot 的编译后核心文件（dist 目录），属于"硬补丁"，在官方更新后需要手动重新应用，维护成本较高。其次，补丁内置了大量 console.log 调试语句，虽然便于排查问题，但在生产环境中会产生冗余日志，需要手动清理。此外，作为社区个人开发者（T3 来源）提供的非官方补丁，缺乏长期维护承诺和自动化更新机制。
适合的目标群体 主要包括：正在使用 Clawdbot 搭建 Discord 机器人且依赖语音交互功能的开发者；需要实现"语音入、语音出"全双工对话场景的智能助手项目；以及具备一定 Node.js 和命令行操作能力，能够承担手动补丁维护工作的技术团队。
使用风险 方面，除常规的 API 密钥配置错误风险外，还需关注：补丁修改核心文件可能导致未来版本更新时的合并冲突；禁用块流式传输在极端高并发场景下可能对内存占用产生轻微影响；调试日志若未清理可能泄露消息内容的片段信息（尽管已实现 80 字符截断）；以及依赖特定 TTS 提供商（OpenAI、ElevenLabs 或 Edge）的 API 稳定性。

OpenClaw官方安全增强技能，通过五级风险分类和彩色编码审计日志，为AI Agent的Shell命令执行提供透明化管控与危险操作拦截能力。

基本信息

• 技能名称?shell-security-ultimate
• 中文名称?AI命令执行的五级风控中枢
• 作者?globalcaos
• 分类?开发
• 版本?v2.2.1
• 标签?devops, automation, security, backend, development-engineering, testing

使用方法

使用说明
核心用法
Shell Security Ultimate 是一款专为 AI Agent 设计的命令执行安全管控工具。其核心工作流程分为三个层次：首先， 风险分类 ，将每条待执行的 Shell 命令按照预设的五级标准（SAFE/LOW/MEDIUM/HIGH/CRITICAL）进行自动归类；其次， 可视化呈现 ，通过 cmd_display.py 脚本生成带颜色编码（）的执行报告，包含命令内容、执行目的和输出摘要；最后， 分级管控 ，SAFE 和 LOW 级别可自动执行，MEDIUM 需记录审计，HIGH 仅展示不执行，CRITICAL 则完全禁止并要求人工确认。
用户可通过命令行直接调用格式化脚本：： python3 scripts/cmd_display.py " " " " "$( )" 。对于 OpenClaw 用户，还可选装 patch-openclaw.sh 修补脚本，在系统层面植入 before_tool_call 钩子，实现真正的执行前拦截（当前版本为可选功能，需手动启用）。
显著优点
防御深度设计 ：该技能采用"提示+代码"的双重防护策略。SKILL.md 中的协议指南属于提示层（Prompted），依赖 Agent 自觉遵守；而 Python 脚本和可选的 OpenClaw 插件则属于代码层（Coded），提供不可绕过的硬性约束。这种分层设计符合安全领域的"纵深防御"原则。
零依赖架构 ： cmd_display.py 仅依赖 Python 标准库（sys/re），无需安装任何第三方包，彻底规避了供应链攻击风险。补丁脚本也仅使用系统原生工具（sed/grep/cp），在最小化攻击面的同时保证了跨平台兼容性。
审计可追溯 ：所有命令执行均附带目的说明（Purpose）和结构化输出，便于后续安全审计。彩色编码和 Emoji 标识大幅提升了可读性，使高风险操作在视觉上即刻可辨。
渐进式部署 ：当前版本已提供完整的分类指南和显示工具，用户可立即投入使用；未来的 OpenClaw 插件将实现全自动拦截，用户可按需升级，无需重构现有工作流。
潜在缺点与局限性
执行依赖自觉性 ：在插件尚未发布前，该技能本质上是"建议性"而非"强制性"的。Agent 可能因上下文遗忘或提示注入攻击而绕过 cmd_display.py 包装器，直接执行原始命令。作者明确承认当前状态为"Mixed approach"，真正的硬拦截需等待 before_tool_call 钩子支持。
分类规则僵化 ：预设的五级分类基于命令关键词匹配（如 rm -rf 自动标记为 CRITICAL），但无法覆盖复杂场景。例如，， git push 到公开仓库与推送到生产环境分支风险迥异，却被统一归类为 MEDIUM；某些看似无害的命令（如 curl | bash ）可能因管道而隐含高危操作，但难以被静态规则捕获。
补丁脚本的副作用 ： patch-openclaw.sh 会直接修改 OpenClaw 的 TypeScript 源代码（ pi-tool-definition-adapter.ts ），尽管有自动备份机制，但仍存在以下风险：目标文件路径依赖环境变量或硬编码默认值；sed 文本替换在复杂代码结构中可能产生意外结果；重建过程（pnpm/npm build）可能因环境差异失败。
输出截断问题 ： summarize_output()() 函数将多行输出强制压缩为单行摘要，这在调试场景下可能导致关键信息丢失，用户需权衡安全性与可观测性。
适合的目标群体
AI Agent 开发者与运维团队 ：需要将 LLM 集成到自动化工作流中，但又担心"幻觉"导致破坏性操作的技术团队。该技能提供了可落地的安全基线。
金融/医疗等合规敏感行业 ：对操作审计有严格要求的领域，彩色分级和目的说明可直接用于合规报告生成。
OpenClaw 生态用户 ：已采用 OpenClaw 作为 Agent 框架的开发者，可通过可选补丁获得更深度的系统集成。
安全意识教育场景 ：五级分类体系本身可作为培训材料，帮助团队建立命令风险认知框架。
使用风险
性能开销 ：每次命令执行需额外调用 Python 进程进行格式化，在高频自动化场景（如每秒数十次命令）下可能产生可感知的延迟。
依赖项风险 ：补丁脚本依赖 Node.js 生态（pnpm/npm）进行重建，若构建环境配置不当可能导致 OpenClaw 实例损坏。建议在生产环境部署前于隔离环境充分测试。
版本兼容性 ：OpenClaw 的 pi-tool-definition-adapter.ts 文件结构可能随版本更新变化，导致补丁失效或产生冲突。当前版本（1.0.2）的补丁逻辑基于特定代码模式，未来需持续维护。
误报与漏报 ：过于严格的分类可能阻碍正常工作效率（如将必要的 sudo 操作标记为 HIGH 导致频繁人工介入）；反之，分类规则更新不及时可能导致新型攻击向量被低估。

基于阿里云官方SDK的SLS日志查询技能，支持query|analysis语法进行日志检索与根因分析，适合运维排障场景。

基本信息

• 技能名称?alicloud-observability-sls-log-query
• 中文名称?阿里云SLS智能日志排障助手
• 作者?cinience
• 分类?开发
• 版本?v1.0.1
• 标签?devops, data-analytics, backend, automation, api, cloud-native

使用方法

使用说明
核心用法
该Skill提供阿里云日志服务（SLS）的查询与排障能力，基于Python SDK实现。用户需配置环境变量（AccessKey、Endpoint、Project、Logstore）后，可通过两种方式使用：一是直接调用Python SDK编写自定义查询逻辑，二是使用内置脚本快速执行常见查询任务。支持时间范围限定、日志过滤、统计聚合（如 status:500 | SELECT status, count(*) AS pv GROUP BY status ），并提供专门的排障脚本用于错误日志分组分析。
显著优点

1. 官方SDK保障 ：基于 aliyun-log-python-sdk 阿里云官方SDK，接口稳定可靠
2. 安全设计 ：敏感凭证通过环境变量管理，无硬编码风险
3. 双模式灵活 ：既支持SDK深度定制，也提供开箱即用的命令行脚本
4. 排障专用 ：内置 troubleshoot.py 脚本，支持按字段分组聚合，快速定位异常模式
5. 查询语法完整 ：完整支持SLS的query|analysis语法，满足从简单检索到复杂统计分析的需求
   潜在缺点与局限性
6. 云平台锁定 ：仅支持阿里云SLS，无法跨云或对接其他日志平台
7. 只读限制 ：脚本设计为只读操作，无法执行写入、删除等管理操作
8. 依赖版本未锁定 ：安装命令使用 -U 标志，生产环境可能因SDK更新引入不兼容变更
9. 无权限声明 ：Skill本身未声明所需最小权限，需用户自行配置RAM策略
10. T3来源 ：由个人开发者维护，长期维护稳定性存疑
    适合的目标群体
    阿里云SLS用户，尤其是运维工程师、SRE、后端开发人员
    需要快速排查线上故障、分析错误日志分布的技术团队
    希望将日志查询集成到自动化工作流中的DevOps工程师
    有一定Python基础、需要自定义查询逻辑的高级用户
    使用风险
11. 凭证泄露风险 ：AccessKey通过环境变量传递，需确保 .env 文件不被误提交至代码仓库
12. 权限过大风险 ：若使用主账号AccessKey而非RAM子账号，可能暴露过多云资源权限
13. 查询性能风险 ：大范围时间查询或复杂聚合可能消耗大量SLS计算资源，产生意外费用
14. 依赖漂移风险 ：未锁定SDK版本可能导致行为变更，建议生产环境指定固定版本

由2PiData开发的OpenClaw安全审计工具，A级安全认证，零遥测本地扫描五大安全维度，自动修复配置漏洞。

基本信息

• 技能名称?openclaw-security-guard
• 中文名称?OpenClaw 零遥测安全审计官
• 作者?miloudbelarebia
• 分类?开发
• 版本?v1.0.0
• 标签?devops, testing, automation, security

使用方法

使用说明
OpenClaw Security Guard 是一款专为 OpenClaw 生态设计的本地安全审计工具，由 2PiData 开发并通过 A 级安全认证。该工具以命令行界面（CLI）结合实时 Web 仪表板的形式，为 OpenClaw 用户提供全方位的安全配置检查服务。
核心用法
用户通过 npm install -g openclaw-security-guard 安装后，可执行 openclaw-guard audit 启动五大维度的深度扫描：Secrets 扫描器检测 15 种以上格式的 API 密钥与密码；配置审计器检查沙盒模式、网关绑定等安全策略；提示词注入检测器识别 50 余种越狱与角色劫持模式；依赖扫描器进行 npm CVE 漏洞检查；MCP 服务器审计器基于允许列表验证第三方服务。扫描完成后生成 0-100 分的安全评分，并支持 openclaw-guard fix 自动修复发现的配置问题，修复前自动创建备份。 openclaw-guard dashboard 可启动本地实时监控面板（localhost:18790）。
显著优点
该工具最大亮点是"零遥测"架构，所有扫描与数据处理均在本地完成，无网络请求、无数据上传，完美契合隐私敏感场景。安全实践规范，采用 Zod 进行严格输入验证，使用 PBKDF2 对仪表板密码进行高强度哈希，有效防止路径遍历与 XSS 攻击。依赖版本完全锁定，无动态代码加载风险。支持自动修复的三种模式（交互式/自动/预览），并提供 Git pre-commit 钩子集成，可在代码提交前拦截敏感信息泄露。
潜在缺点与局限性
作为 T3 来源工具（个人开发者/小型组织），缺乏大型开源组织或官方背书，在企业级合规场景中可能面临来源可信度挑战。功能层面，依赖扫描目前仅提供基础检查，完整 CVE 分析仍需配合 npm audit 使用。仪表板界面通过 CDN 加载 Tailwind CSS 和 React，虽为生产环境代码，但在严格隔离网络中可能无法正常显示。此外，该工具专为 OpenClaw 生态定制，无法通用到其他 MCP 或 AI 平台。
适合的目标群体
主要面向 OpenClaw 的个人开发者与中小团队，特别是对数据隐私有极高要求、不希望安全扫描数据外泄的用户。适合需要快速评估 OpenClaw 安装安全基线的技术团队，以及希望在开发流程中集成自动安全检测的 DevOps 工程师。对于注重本地优先（Local-first）安全策略的组织，该工具提供了难得的零网络依赖方案。
使用风险
尽管代码本身通过 A 级安全审查，但用户需注意：自动修复功能虽提供备份，仍建议在运行前手动备份关键配置；仪表板虽绑定 localhost，但在共享开发环境中需设置强密码防止本地未授权访问；作为社区驱动项目，长期维护稳定性与漏洞响应速度可能不及官方工具；T3 来源意味着供应链攻击风险理论上高于 T1/T2 级别工具，建议定期审查代码更新。

基于Didit商业API的邮箱OTP验证服务，支持泄露/一次性邮箱检测及IP设备欺诈信号识别，为应用提供高安全性身份核验能力。

基本信息

• 技能名称?didit-email-verification
• 中文名称?企业级邮箱OTP验证与风控方案
• 作者?rosasalberto
• 分类?开发
• 版本?v1.2.0
• 标签?api, backend, customer-support, security, authentication

使用方法

使用说明
Didit Email Verification是一项专注于邮箱身份验证的API集成技能，通过对接Didit商业验证平台，为应用提供完整的OTP（一次性密码）邮箱验证解决方案。该技能采用两步验证机制，首先向目标邮箱发送验证码，随后验证用户输入的代码，整个过程集成反欺诈检测与风险邮箱识别能力，适用于用户注册、密码重置、身份核验等多种业务场景。
核心用法遵循简洁的双端点流程。开发者首先调用 POST /v3/email/send/ 端点向指定邮箱发送验证码，支持自定义验证码长度（4-8位）及是否使用字母数字组合，同时可附加用户IP、设备ID和User-Agent等欺诈信号用于风险评分。验证码5分钟内有效，用户最多可尝试验证3次。随后通过 POST /v3/email/check/ 端点校验用户输入，系统不仅比对验证码正确性，还会根据配置策略自动检测泄露邮箱（Breached）、一次性邮箱（Disposable）及无法投递地址（Undeliverable），支持设置"DECLINE"动作自动拒绝高风险验证请求。
该技能的显著优势在于其企业级风控能力。除了基础的OTP验证，它内置Have I Been Pwned等泄露数据库检测，可识别数据泄露中的受损邮箱；能自动标记临时邮箱服务商（10 Minute Mail等）；通过欺诈信号收集实现风险评分；并提供完整的验证生命周期日志，包括发送时间、验证尝试次数及费用明细。策略配置灵活性高，开发者可针对重复邮箱、泄露邮箱等不同风险类型独立设置"通过"或"拒绝"策略，实现精细化的安全控制。
然而，该技能也存在一定局限性。首先，作为T3来源（个人开发者rosasalberto）的社区项目，长期维护更新存在不确定性。其次，功能强依赖于Didit第三方服务的可用性，若Didit API发生故障或网络不通，验证流程将完全中断。此外，每次验证调用均产生API费用（Send约$0.03/次），对于高频应用需考虑成本因素。数据隐私方面，用户邮箱及IP等敏感信息需传输至Didit服务器处理，虽采用HTTPS加密，但仍需符合GDPR等数据跨境传输合规要求。
该技能特别适合对身份安全性要求较高的SaaS平台、金融科技应用、电商平台及需要KYC（了解你的客户）合规的在线服务。对于需要防范批量注册、虚假账户及欺诈行为的业务场景，其一次性邮箱检测和泄露数据库比对功能具有重要价值。同时，支持多语言邮件模板（locale参数）的特性也使其适用于国际化产品。
使用风险主要包括：网络依赖风险（需确保服务器能访问verification.didit.me）、API配额管理风险（需监控Didit账户余额避免403错误）、数据隐私合规风险（需向用户明确告知邮箱验证涉及第三方服务），以及潜在的速率限制风险（429错误）。建议生产环境实施完善的错误重试机制，对"Undeliverable"和"Declined"状态进行用户友好的提示封装，避免暴露底层API错误细节。