Xyz

网络搜索工具，支持多种搜索引擎后端（DuckDuckGo、Tavily、Bing、Google、SearXNG）。使用场景：当用户需要搜索网络上的实时信息、查找最新资料、获取在线资源时调用。通过命令行执行搜索查询并返回结构化的搜索结果（标题、链接、摘要）。

要点与建议： 1) 在安装或运行前核实不一致项：注册表声明“无需环境变量”但文档/脚本需要若干 API Key；文档示例的脚本名 (scripts/xyz.py) 与仓内实际脚本 (scripts/web_search.py) 不一致——确认真正的入口和调用方式。 2) 最小化凭据暴露：如果只需 DuckDuckGo（默认），无需提供任何第三方 API Key；只有在明确需要并信任相应服务时才配置 BING/GOOGLE/TAVILY 的密钥。 3) 审查网络目标：脚本会向公共 API（api.tavily.com、api.bing.microsoft.com、www.googleapis.com）和任意 SEARXNG_URL 发起请求，确认这些端点是你期望的目标，不要在不受信任环境下将 SEARXNG_URL 指向外部服务。 4) 运行环境隔离：在安全沙箱或受控环境（无敏感凭据）中运行初次测试，检查实际行为与文档一致，确认没有未声明的数据外传。 5) 请求补充信息或修正：建议要求发布者修正注册表元数据以列出必要的环境变量、修复 SKILL.md 中的入口文件名/“无执行脚本”声明，并提供完整脚本的未截断源以供审查。 额外信息可以提高置信度：完整未截断的 scripts/web_search.py 源代码（以确认没有隐藏的外连或数据泄漏逻辑）；发布者将元数据同步修正后的清单；以及明确的运行示例和日志，证明仅在需要时才使用外部 API。

Type: OpenClaw Skill Name: xyz Version: 1.0.0 The skill bundle provides a functional web search utility supporting multiple backends including DuckDuckGo, Google, and Bing. The core logic in `scripts/web_search.py` uses standard Python libraries to perform API calls and includes a fallback HTML scraper for DuckDuckGo; no evidence of command injection, data exfiltration, or malicious intent was found. While `SKILL.md` contains a discrepancy regarding the script filename (referencing `xyz.py` instead of `web_search.py`) and a commented-out internal test URL (`redteampubtest`) exists in the code, these appear to be remnants of development or testing rather than indicators of malice.