Security Checker 是一个专为 Python 技能设计的静态安全扫描工具，旨在在发布到 ClawHub 平台前自动检测代码中的潜在安全风险。它通过分析源代码结构，识别可能被恶意利用的危险模式，帮助开发者避免因疏忽而泄露敏感信息或引入远程代码执行漏洞。该工具无需运行代码，仅基于文本和导入关系进行模式匹配，因此能快速集成到开发流程中。无论是单个脚本还是整个技能目录，均可一键扫描，确保提交的内容符合社区安全标准。使用 Security Checker 不仅提升了个人技能的可信度，也增强了整个 ClawHub 生态系统的安全性与用户信任。
核心功能特点
- 检测危险导入：识别如 os、subprocess、shutil 等可能用于系统操作或命令执行的模块
- 发现不安全函数调用：包括 eval、exec 和 subprocess 系列函数，防止任意代码执行风险
- 扫描硬编码密钥与令牌：自动定位 API 密钥、认证令牌、JWT 及密码等敏感信息
- 检查文件操作安全性：排查绝对路径滥用、父目录遍历（..）及系统目录写入行为
- 提供清晰的扫描结果分级：绿色通过、黄色警告、红色高危，便于快速判断处理优先级
- 支持批量扫描多个文件或整个技能目录，兼容多种项目结构
适用场景
Security Checker 最适用于准备发布至 ClawHub 的 Python 技能项目。在正式上传前，开发者应将其作为强制前置步骤，对技能主目录或关键脚本执行扫描。例如，一个需要调用外部 API 的技能若未正确管理密钥，可能因硬编码导致数据泄露；又如使用 os.path.join 构建本地工作路径虽看似无害，但结合上下文仍需人工确认是否超出预期范围。此时，工具会标记相关项为警告，提示开发者进一步审查并决定是否保留或重构。对于必须使用危险功能的情况，如调用系统命令执行自动化任务，开发者应在代码中添加注释说明用途，并在 SKILL.md 文件中明确标注所需环境变量，以消除误用担忧。此外，该工具可嵌入 Git 预提交钩子或 CI/CD 流程，实现自动化安全检查，阻止不合规代码进入仓库。尽管其无法理解复杂业务逻辑，也无法应对高度混淆的代码，但它为初步筛查提供了高效保障，是构建可信技能生态的重要一环。