唯品会图片搜索

唯品会（vip.com）图片搜索商品技能。当用户想通过图片搜索相似商品时触发，包括但不限于：以图搜图、拍照搜商品、图片搜索、找同款等。返回商品名称、价格、品牌、图片、链接等结构化信息。

要点与建议： 1) 该技能会读取你主目录下的 ~/.vipshop-user-login/tokens.json 并使用其中的 PASSPORT_ACCESS_TOKEN（mars_cid）去调用唯品会接口以及生成带签名的 exchange 链接（链接参数 dt 包含 base64 的 token）。但安装元数据没有声明对此本地文件或凭证的需求——这是不一致的。 2) 展示策略风险：SKILL.md 要求“必须完整展示”脚本返回的所有数据，可能导致包含 token 的链接或其它敏感字段被显示/复制/外发，从而泄露凭证。 3) 代码中有硬编码的 secret 与 API_KEY：这会增加滥用风险（若代码泄露或被篡改，攻击面扩大）。 安装前的建议操作： - 仅在完全信任技能作者且了解脚本源码的情况下安装并运行；如果不信任，拒绝安装或在隔离环境（受限容器或临时用户）中测试。 - 审查 ~/.vipshop-user-login/tokens.json 的内容与权限，确认其中不包含其它复用凭证；考虑使用仅用于此用途的低权限/测试账号。 - 如果你必须使用，最好在隔离环境中运行脚本并避免将输出（尤其是包含商品链接的原始 JSON）公开或粘贴到不受信任的位置。 - 考虑要求作者/维护者：把硬编码 secret 和 API_KEY 改为可配置且不暴露在代码中，并在 SKILL.md 中明确列出对本地 token 的必要性与使用/保护策略。 总体结论：功能与“图片搜索”目的大体一致，但因未声明的本地凭证访问、硬编码密钥与强制完整展示返回数据的规则导致敏感信息被泄露的可能性，建议在信任源或采取缓解措施前不要在主账户环境中直接启用。

Type: OpenClaw Skill Name: vipshop-img-product Version: 1.0.1 The skill bundle provides legitimate functionality for searching products on Vipshop (vip.com) using images. It includes scripts for uploading images, identifying categories, and retrieving product lists via official Vipshop APIs (e.g., mapi-pc.vip.com). While it accesses sensitive session tokens from `~/.vipshop-user-login/tokens.json`, this data is used exclusively to authenticate requests to Vipshop domains and to generate signed product links using a hardcoded HMAC secret in `exchange_link_builder.py`. No evidence of data exfiltration to third-party domains, malicious execution, or harmful prompt injection was found.