虾皮红利类指数投资分析

分析红利类指数投资机会，基于打分算法判断超买超卖状态。触发词：询问某个红利指数的投资机会、红利指数、红利分析、中证红利、红利低波、股息率指数、高股息。适用场景：分析红利类指数投资机会、判断超买超卖时机、红利指数择时。不适用场景：个股分析、债券分析、基金筛选。

要点与建议： 1) 该技能确实需要访问大虾皮(daxiapi.com) 的 API 并使用一个 API Token，但技能元数据没有声明该凭据。安装前确认你愿意提供该 Token，并尽量使用权限最小的 Token（仅读数据）且可随时撤销。\n2) 运行指令使用 `npx daxiapi-cli@latest`：这会在运行时从 npm 拉取并执行 daxiapi-cli 包。若你要信任此技能，先在独立环境手动检查 npm 上的 daxiapi-cli 包（查看发布者、版本历史、源码仓库、下载量和评分），确认没有可疑活动。\n3) 验证 daxiapi.com 的信誉：查看其隐私政策、API 权限说明、是否需要支付或绑定账户，以及 token 的权限/有效期。\n4) 若你担心安全性，可要求技能作者在元数据中明确列出需要的环境变量（如 DAXIAPI_TOKEN）并提供一个静态、可审计的客户端实现（而不是依赖 npx/latest 动态拉包）。\n5) 若继续使用：只把最小权限的 token 暂时提供给该技能，并在不再需要时撤销；或在受控/沙箱环境中先行测试技能的行为。\n总体判断：技能功能和实现思路一致，但因为凭据声明不透明与运行时拉取第三方 CLI 的做法，我建议在确认 daxiapi 与 daxiapi-cli 的可信度后再安装/使用。

Type: OpenClaw Skill Name: xiapi-dividend-analysis Version: 1.0.4 The skill utilizes `npx daxiapi-cli@latest` to execute a third-party CLI tool and manage API tokens via shell commands in `SKILL.md`. This pattern introduces significant supply chain risks by executing unpinned remote code and creates a potential shell injection vulnerability if the index code parameter (`-c <code>`) is not strictly sanitized by the agent. While the instructions are functionally aligned with financial analysis of dividend indices, the reliance on external execution and shell-based secret handling is inherently risky.