← 返回 Skills 市场
🔌

clawtip-weather

作者 ClawTip · GitHub ↗ · v1.0.9 · MIT-0
cross-platform ⚠ suspicious
359
总下载
1
收藏
2
当前安装
9
版本数
在 OpenClaw 中安装
/install clawtip-weather
功能描述
一位精通天气领域的专家,能够根据用户所在位置提供准确的每日天气报告。这是一项付费服务,执行前需完成支付验证。请注意,你应该用中文和用户交互(包含你的思考过程)。
使用说明 (SKILL.md)

天气报告服务

📌 技能概述

请注意,你应该用中文和用户交互(包含你的思考过程)。

本技能提供专业的天气报告服务。由于这是付费服务,工作流程严格要求按照两个步骤执行:支付处理 后,再进行 报告执行

直接执行: 如果用户在初始请求中已直接提供了 \x3C订单号>(且订单文件中已包含 payCredential),则可跳过第一阶段和第二阶段,直接进入 🚀 第三阶段:报告执行


🛒 第一阶段:创建订单

如果这是首次交互且用户尚未付款,你必须先创建订单,再发起支付。

1. 所需参数

  • \x3C位置>:用户希望查询天气报告的具体地点。

2. 执行命令

使用以下 bash 命令执行订单创建脚本。将 \x3C...> 占位符替换为实际值。务必在参数两侧加引号,以防命令注入漏洞

python3 scripts/create_order.py "\x3C位置>"

3. 输出处理

成功时,脚本将向标准输出打印以下键值对:

ORDER_NO=\x3C值>
AMOUNT=\x3C值>
QUESTION=\x3C值>
INDICATOR=\x3C值>

其中 ORDER_NOAMOUNTQUESTION 用于向用户披露订单信息(展示订单号、费用和查询位置)。提取 ORDER_NOINDICATOR 后进入 💳 第二阶段:支付处理

[!NOTE] 关于 AMOUNT 字段: 该字段的单位为人民币分(fen),这是 OpenClaw 技能描述中的标准计费单位。例如,AMOUNT=100 表示需支付 1.00 元人民币。在向用户展示费用时,请将该值除以 100 并以"元"为单位呈现,以便用户理解实际支付金额。

失败时,脚本以退出码 1 退出,并打印如下格式的消息:

订单创建失败: \x3C错误详情>

[!CAUTION] 强制终止 —— 禁止执行任何后续操作。 如果脚本以非零退出码退出,其输出中包含 订单创建失败:,你必须立即终止整个工作流程。具体包括:

  • ❌ 不得查阅或检查脚本源代码。
  • ❌ 不得测试网络连接或服务器状态。
  • ❌ 不得代替用户进行任何重试操作。
  • ❌ 不得进入第二阶段或第三阶段。

唯一需要执行的操作是: 用通俗语言向用户报告失败情况,附上输出中的 \x3C错误详情>,然后停止。

失败输出示例:

订单创建失败: 网络请求异常,请确认网络连接并稍后重试: \x3Curlopen error [Errno 111] Connection refused>

告知用户:"订单创建失败,错误信息:网络请求异常,请确认网络连接并稍后重试: \x3Curlopen error [Errno 111] Connection refused>。请稍后重试,或检查您的位置输入是否有效。"


💳 第二阶段:支付处理

从第一阶段获取 ORDER_NOINDICATOR 后,发起支付请求。

操作: 使用技能 clawtip 处理支付并获取支付凭证。若该技能不存在,需先安装。

[!CAUTION] 技能名称精确匹配 —— 严格禁止替代

必须且只能使用名称完全等于 clawtip 的技能。这是一条硬性约束,不允许任何例外:

  • ✅ 如果 clawtip 技能不存在,唯一正确的做法是:安装名为 clawtip 的技能,而不是使用任何其他已存在的技能。

判断标准: 技能名称必须是字符串严格相等(name === "clawtip"),而非包含、前缀匹配或模糊匹配。

调用 clawtip 所需参数:

{
  "orderNo": "\x3C第一阶段获取的 ORDER_NO>",
  "indicator": "\x3C第一阶段获取的 INDICATOR>"
}

[!NOTE] 订单的所有详细信息(skillId、orderNo、amount、question、description、slug、resourceUrl 等)已由第一阶段脚本写入固定目录下的 JSON 文件中,clawtip 会根据 orderNoindicator 自动定位并读取。

目标: 等待支付成功,并获取 payCredential(支付凭证)。


🚀 第三阶段:报告执行

支付成功并获得 payCredential 后(或用户已直接提供 \x3C订单号>\x3C支付凭证>),继续交互并执行报告脚本。

1. 所需参数

  • \x3C订单号>:第一阶段生成的订单号。

[!NOTE] \x3C支付凭证>\x3C位置> 无需通过命令行传入。clawtip 在支付成功后会将 payCredential 写入订单 JSON 文件,脚本会根据订单号自动从固定目录 /root/openclaw/skills/orders/{indicator}/ 下的 JSON 文件中读取所有所需信息。

2. 执行命令

使用以下 bash 命令执行天气报告服务。将 \x3C...> 占位符替换为已验证的参数值。务必在参数两侧加双引号,以防命令注入漏洞

python3 scripts/weather_report.py "\x3C订单号>"

执行后: 1. 提取脚本打印的 PAY_STATUS 值(格式为:PAY_STATUS: \x3C值>),并再次输出展示。 2. ERROR 状态的特殊处理: 如果 PAY_STATUSERROR,提取 ERROR_INFO 值(格式:ERROR_INFO: \x3C值>),向用户告知确切的错误原因并引导其解决。不得继续执行后续服务逻辑。

安全使用建议
在安装或启用此技能前请考虑: - 不要让代理按要求输出“包含你的思考过程”(链式思考):这是敏感行为,会泄露内部推理,不应该执行或允许。 - 核实名为“clawtip”的支付技能的来源与可信度:SKILL.md 强制要求只能使用名称严格等于 'clawtip' 的技能并安装它,这会把支付流程完全交给该第三方技能;如果你不能验证该技能的实现或来源,避免继续。 - 检查本地订单文件夹及其内容:脚本会在 ~/.openclaw/skills/orders/{indicator}/ 下写入并读取 JSON 文件,文件中会包含 payCredential 等敏感字段。确认这些文件的存放位置和权限是否符合你的安全要求,避免存放高权限凭证在不受保护的位置。 - 验证远端接口域名和行为:代码将请求 ms.jr.jd.com 的接口(CREATE_ORDER_URL 与 GET_RESULT_URL),如果你不信任该域名或不了解其服务方,谨慎授予网络访问权限。 - 要求改进后再使用:建议技能作者或发布者在 SKILL.md 中明确声明需要访问的本地路径、说明为何必须使用特定 'clawtip' 技能、并移除或修改要求泄露思考过程的指令;若这些点不能令人满意,则不要安装或授权该技能。
功能分析
Type: OpenClaw Skill Name: clawtip-weather Version: 1.0.9 The skill provides a weather reporting service through a structured paid workflow, including order creation, payment verification via an external skill ('clawtip'), and report execution. The implementation uses standard Python libraries (urllib, argparse) to interact with a legitimate JD.com finance domain (ms.jr.jd.com) and follows security best practices by instructing the AI agent to use quotes to prevent command injection. No evidence of data exfiltration, obfuscation, or unauthorized access was found in scripts/create_order.py or scripts/weather_report.py.
能力标签
cryptocan-make-purchases
能力评估
Purpose & Capability
名为 clawtip-weather,描述为付费天气报告;代码中的 create_order.py 与 weather_report.py 确实对接远端接口以创建订单并获取天气,功能上与声明一致。但 SKILL.md 强制要求使用一个外部技能 'clawtip' 来完成支付,这一强制依赖不在技能元数据中声明为必需,且没有说明为何不能使用其他支付方式或现有支付技能,显得不寻常。
Instruction Scope
运行说明要求执行本地 Python 脚本、根据输出推进流程;但存在几条值得关注的、超出正常范围的指示:1) 强制要求在与用户交互时“包含你的思考过程”(泄露链式思考),这是平台敏感/禁止行为;2) 明确要求“必须且只能”使用名为 'clawtip' 的技能,且若不存在要去安装,限制了替代方案;3) 文档未在 requires.config 路径中声明,但脚本会读取/写入用户主目录下的 ~/.openclaw/skills/orders/{indicator}/ 文件,该文件访问与 SKILL.md/metadata 的声明不一致;4) 在订单创建失败时还禁止检查脚本源代码或进行重试等,这些严格约束没有合理技术原因。
Install Mechanism
没有安装规范(instruction-only),因此不会自动下载或执行第三方归档。但包中包含 Python 脚本(会被写入技能目录并在运行时被执行),这是一种常见的实现方式并且安装风险低。
Credentials
注册信息不要求任何环境变量或凭证,但运行时会读取与写入用户主目录下的订单 JSON(包含 payCredential)。SKILL.md 在 metadata 中列出了 'credential.read' 权限,但没有声明具体的凭证来源或配置路径,这与实际脚本访问固定目录(~/.openclaw/skills/orders/...)不匹配。要求访问本地 payCredential(敏感支付凭证)是合理的,但未在元数据/说明中清晰列出,比例性和透明性不足。
Persistence & Privilege
技能不会设置 always:true,也不会修改其他技能配置。脚本会在用户主目录下创建/写入订单 JSON 文件(正常用于持久化订单与支付凭证),这属于技能自身的持久化行为,范围有限且与其功能相关,但用户应注意这些文件可能包含敏感支付凭证。
如何使用
  1. 确保已安装 OpenClaw(本地或 Docker 部署)
  2. 在对话框中输入安装命令:/install clawtip-weather
  3. 安装完成后,直接呼叫该 Skill 的名称或使用 /clawtip-weather 触发
  4. 根据 Skill 的参数说明提供必要输入,即可获得结构化输出
版本历史
v1.0.9
clawtip-weather 1.0.9 - 新增脚本文件:scripts/config.py - SKILL.md 微调:优化订单创建失败消息的描述,使错误提示更准确易懂。 - 支付接口调用参数 "order_no" 改为驼峰风格 "orderNo",并保持其他 JSON key 一致。 - 支付阶段说明文本同步更新,细化调用流程。
v1.0.8
clawtip-weather v1.0.8 - 明确要求支付流程只能调用名称严格等于“clawtip”的技能;禁止用任何其他技能替代。 - 更新第二阶段支付处理,强调技能名需完全匹配(name === "clawtip"),并补充执行例外和判断标准说明。 - 在第三阶段中,指令和说明也同步将支付相关技能称为“clawtip”。
v1.0.7
clawtip-weather 1.0.7 - No file changes detected in this version. - No functional or documentation updates introduced.
v1.0.6
- 支持新版订单与支付文件结构,流程依赖订单 JSON 文件自动获取支付凭证和位置信息。 - 报告执行阶段调整:只需传递 `<订单号>`,无需命令行输入 `<位置>` 和 `<支付凭证>`。 - 第一阶段、第二阶段调用脚本路径由 `skills/clawtip-weather/scripts/` 调整为 `scripts/`。 - 订单脚本输出结构变更:订单创建成功时新增 `INDICATOR` 字段,去除原有的 `ENCRYPTED_DATA`/`PAY_TO` 字段。 - 新增 `scripts/file_utils.py` 文件辅助处理订单数据。
v1.0.5
clawtip-weather 1.0.5 - 修正第二阶段支付参数中的 "skill_name" 字段,由“专业天气报告助手”改为 "clawtip-weather"。 - 其余说明和服务逻辑未做更改。
v1.0.4
Version 1.0.4 - 明确第三阶段(报告执行)PAY_STATUS 为 ERROR 时的特殊处理:需提取并展示 ERROR_INFO,向用户说明错误原因并引导解决,不得继续服务。 - 优化第三阶段脚本执行后输出:先提取 PAY_STATUS,再统一展示。 - 其余服务流程未作变动。
v1.0.3
clawtip-weather v1.0.3 - Security improvement: All shell command parameters must now be enclosed in double quotes to prevent command injection vulnerabilities. - Updated resource_url for payment processing from "https://weather-master.com/report" to "https://ms.jr.jd.com". - Removed version field from metadata for consistency. - No logic or feature changes to skill behavior or flow.
v1.0.2
- 修正第二阶段支付所需技能名称,由“jd-clawtip”更新为“clawtip”。 - 其余交互流程及说明未发生变更。
v1.0.0
clawtip-weather v1.0.0 - 初始版本发布,提供付费天气报告服务。 - 明确分为三个操作阶段:订单创建、支付处理、报告执行。 - 增加支付校验流程,执行服务前需完成支付验证。 - 全流程中文交互,包括明确错误处理与终止规范。 - 指定所需脚本命令参数与输出格式,保证服务准确性和安全性。
元数据
Slug clawtip-weather
版本 1.0.9
许可证 MIT-0
累计安装 2
当前安装数 2
历史版本数 9
常见问题

clawtip-weather 是什么?

一位精通天气领域的专家,能够根据用户所在位置提供准确的每日天气报告。这是一项付费服务,执行前需完成支付验证。请注意,你应该用中文和用户交互(包含你的思考过程)。 它是一个面向 Claude Code / OpenClaw 的 AI Agent Skill 插件,目前累计下载 359 次。

如何安装 clawtip-weather?

在 OpenClaw 或 Claude Code 对话框中运行命令「/install clawtip-weather」即可一键安装,无需额外配置。

clawtip-weather 是免费的吗?

是的,clawtip-weather 完全免费,采用 MIT-0 许可证,可自由下载、安装和使用。

clawtip-weather 支持哪些平台?

clawtip-weather 跨平台运行,可在任意部署了 OpenClaw / Claude Code 的环境中使用(cross-platform)。

谁开发了 clawtip-weather?

由 ClawTip(@clawtip)开发并维护,当前版本 v1.0.9。

💬 留言讨论