A股持仓监控助手 - 每日自动持仓报告、止损止盈提醒、实时盈亏跟踪。适合个人投资者管理多只股票持仓。

这是一个本地、基于腾讯财经的持仓/选股脚本包，功能声明与网络请求基本匹配 — 但在安装前请注意并采取以下步骤： 1) 修复并审查缺失文件：portfolio.py 依赖 analyze 模块（analyze_stock 等），但仓库清单缺失 analyze.py。安装前要求作者补齐或在本地查看/提供该文件。否则 analyze 和 analyze_portfolio 功能无法工作。 2) 文档/路径不一致：README 建议编辑 data/portfolio.json，但实际脚本写入 ~/.clawdbot/skills/a-stock-analysis/portfolio.json。确认想要的数据位置并统一文档或修改代码。 3) 命令注入风险（本地风险）：scripts/run_monitor.py 在把用户输入直接拼入 os.system 调用（例如 os.system(f"python portfolio.py add {code} --cost {cost} --qty {qty}" )）。如果其他用户或不受信任的输入可到达这些交互，会有命令注入危险。建议在合并前将这些调用改为 subprocess.run([...], check=True) 或对输入进行严格验证/过滤。 4) 网络访问：脚本会请求 qt.gtimg.cn 获取行情数据——如果你不希望任何外联流量，请不要运行。确认该域名是你信任的数据源。 5) 运行环境建议：先在隔离环境（容器或受限虚拟机）中运行和测试，确认缺失模块、路径和行为被修复；查看 analyze.py（若提供）以确认没有隐藏的外部端点或敏感数据上传逻辑。 6) 信誉与来源：源码来自 unknown 源，缺少主页/仓库地址。若要长期使用，要求作者提供来源仓库（例如 GitHub）并查看提交/历史以评估信誉。 如果你不自己修复或审核这些问题，则建议不要在生产机器或包含敏感信息的主目录上运行。

Type: OpenClaw Skill Name: a-stock-portfolio-monitor Version: 1.0.0 The skill bundle contains a significant shell injection vulnerability in 'scripts/run_monitor.py', where unsanitized user input from the 'code', 'cost', and 'qty' fields is passed directly into 'os.system()' calls. Additionally, 'scripts/portfolio.py' depends on a missing local module named 'analyze.py', which renders the primary analysis functionality broken. While these issues represent poor security practices and incomplete code, there is no explicit evidence of intentional malice, data exfiltration, or hidden backdoors.