用户询问回收、估价、报价、回收价、值多少钱、能卖多少、转转回收时触发，支持全品类商品回收估价，结合图片、文字、型号、规格、成色等信息给出参考回收价

用户询问回收、估价、报价、回收价、值多少钱、能卖多少、转转回收时触发，支持全品类商品回收估价，结合图片、文字、型号、规格、成色等信息给出参考回收价

这是一个功能上连贯的“转转回收估价”技能：它会把用户的文字和（尤其是）图片发送到转转指定的后端以获得估价。主要风险点： - 本地文件上传风险：脚本接受本地文件路径并会读取、（可选）压缩、base64 编码并将内容发送给后端。不要把任意敏感本地路径（如 /etc/shadow、包含个人数据的文档、照片目录等）误传给该技能或允许代理在未确认的情况下传入本地路径。 - 目标后端为第三方域名（zai.zhuanzhuan.com）：在信任该服务商之前，不要上传敏感图片或文件。确认隐私/数据保留策略和企业资质（若你管理重要数据）。 - 会话数据持久化：脚本会在 ~/.openclaw/state/ 下写入 session/skill_token 等，会话信息可能被后端关联并上报。若希望移除历史会话，请手动删除该目录或使用脚本中的 --reset-state 流程（SKILL.md 有说明）。 - 自动/自治调用注意：该技能默认允许模型调用（disable-model-invocation=false）。如果你的代理可自主调用技能，考虑限制自治权限或在调用前要求明确用户确认，以避免意外上传本地内容。 建议措施： 1) 仅在信任 zai.zhuanzhuan.com 后端时安装并运行。核实其隐私政策和数据保留时限。 2) 在能控制的环境（沙箱/容器）中运行此技能，或限制脚本运行用户的文件访问权限，避免意外上传敏感系统文件。 3) 不要在 --image 参数中传入非图片或包含敏感信息的本地路径；前端应对用户输入做白名单校验（仅允许常见图片扩展/最大尺寸）。 4) 如果你需要更高保证，审计/阅读完整脚本（已经包含在包内），并在受限环境中测试其网络请求（例如拦截/查看真实请求负载）。 基于以上不一致性（可上传任意本地路径并发送到第三方），我把结论定为“suspicious”。如果你可以确认后端信任级别且前端/平台会对上传路径强制只允许图片文件，这会将风险降到可接受水平。

Type: OpenClaw Skill Name: zhuanzhuan-recycle-estimator Version: 1.0.0 The skill bundle is a legitimate tool for estimating the trade-in value of electronics using the Zhuanzhuan service. The core logic in invoke_zhuanzhuan_recycle_skill.py safely handles image processing and API communication with zai.zhuanzhuan.com, using standard system utilities (sips/convert) for compression without shell injection risks. No malicious behaviors, data exfiltration, or harmful instructions were found.