Zentao API Skills（禅道 API 技能）

调用禅道（ZenTao）RESTful API v2.0 完成用户请求，覆盖项目集、产品、项目、执行、需求（Story/Epic/Requirement）、Bug、任务、测试用例、测试单、产品计划、版本、发布、反馈、工单、应用、用户、文件等 20 个模块的增删改查及状态流转操作。当用户提到禅道、zentao、查询...

简明建议： - 功能与描述一致：这个技能就是为调用禅道 API 设计的，所需的环境变量（ZENTAO_URL、ZENTAO_TOKEN、ZENTAO_ACCOUNT、ZENTAO_PASSWORD）和请求头 token 是合理且必须的。只要你信任目标禅道服务器并提供相应凭据，技能可以工作。 - 注意元数据不完整：注册表条目没有声明脚本的运行依赖 (curl, node) 也没有列出环境变量，这意味着安装/运行前请确保环境满足这些依赖并额外留心为何未在元数据中声明。 - 凭据管理与缓存：scripts/get-token.sh 会把 token、url、account 写入 ~/.zentao-token.json（永久保存直到手动删除）。若你不希望持久化凭据，避免使用该脚本或在使用后立即删除该文件，并确保文件权限（仅限用户可读写）。优先使用直接提供的 ZENTAO_TOKEN（比在聊天中输入密码更安全）。 - 使用 eval 的风险：文档建议运行 eval "$(bash scripts/get-token.sh)"，这会在当前 shell 环境中导出变量。请在受信任的环境下执行并先审阅脚本内容，确保没有意外命令。 - 网络与信任：脚本会向你指定的 ZENTAO_URL 的 /api.php/v2/users/login 发起登录请求。仅在你信任该服务器并确认 URL 正确无误时提供账户/密码或 token。 - 建议操作： 1) 在受控终端审查 scripts/get-token.sh。 2) 尽量使用 ZENTAO_TOKEN（而非密码）并通过环境变量传递；如果使用密码登录，使用后删除 ~/.zentao-token.json 或更改其权限。 3) 确保系统上安装并受信任的 curl 与 node。 4) 若希望更高保守性，可手动运行登录请求并只把最终 token 传给技能，而不让脚本在主目录写缓存。 总评：该包看起来是“做它声称要做的事”，但因为元数据不完整和脚本会在本地持久化敏感 token，我建议在安装/运行前按上面建议核查并谨慎提供凭据。

Type: OpenClaw Skill Name: zentao-api Version: 1.0.4 The skill bundle provides a comprehensive integration for the ZenTao API but contains a significant shell injection vulnerability in its authentication flow. The file 'scripts/get-token.sh' is designed to be executed via 'eval' by the AI agent (as instructed in 'SKILL.md'), but it outputs user-controlled variables (ZENTAO_URL, ZENTAO_TOKEN, ZENTAO_ACCOUNT) without sanitization. A maliciously crafted ZENTAO_URL could lead to arbitrary command execution on the host system when the agent evaluates the script's output. Additionally, the skill stores sensitive credentials in plaintext within '~/.zentao-token.json'. While these appear to be unintentional security flaws in a legitimate tool from the official ZenTao ecosystem (easysoft/chandao.com), they present a high risk of exploitation.