单元测试 Skills 集合。当用户提到单测、单元测试、覆盖率、单测覆盖、单测失败、单测报错、修复单测、补充测试、覆盖率不足、覆盖率100%、运行单测、组件测试等关键词时触发。 包含三个子技能：unittest-checker（覆盖率检测）、unittest-completer（自动补全测试至100%）、unit...

这个技能看起来确实会运行 Jest、生成/解析 coverage，并自动写入测试文件以尝试把覆盖率补到 100%，功能与描述一致。但有几点在使用前务必注意： 1) 在启用前备份或在单独分支/沙箱仓库运行：completer 会编辑测试文件（并可能在极少数情况下修改源文件），以免意外破坏主分支代码。 2) 检查并确认 source.json（jestConfigPath）的内容：脚本把该路径直接拼到 shell 命令里，错误或恶意的路径字符串可能导致命令注入风险。不要把不可信的字符串写入 source.json。最好由你手动填写或审查该文件后再运行 reload。 3) 审阅生成的 config.json 与 .temp 内容：技能将 per-project 配置和覆盖率产物放在 skill 的 .temp 下（skill 包目录），这可能与你预期的项目结构不同，确认路径不会暴露敏感信息或被误提交。 4) 网络/依赖行为：脚本使用 npx 和可能触发 npm 下载，确保在可控网络环境下运行，或事先在项目中安装好依赖（本地 jest），以减少远程包拉取。 5) 命令注入风险：如果你担心安全，审查脚本（已经包含在包内）并/或将命令执行改为使用参数化 APIs（或手动运行生成的命令）来避免 shell 拼接风险。 如果你愿意，我可以帮你审阅具体的 source.json/config.json 示例、或者把这些脚本逐条解释清楚并指出如何在你的环境中安全运行。

Type: OpenClaw Skill Name: jest-unittest Version: 1.0.3 The skill bundle implements a complex unit testing automation system that is prone to command injection vulnerabilities. Specifically, `scripts/reload.cjs` and `sub-skills/unittest-doctor/scripts/test-error-reporter/index.cjs` construct shell commands by concatenating strings from user-controlled or project-provided configuration files (like `source.json` and Jest config files) and execute them using `execSync` (with `shell: true` in some cases). While these capabilities are aligned with the stated purpose of running tests and checking coverage, the lack of input sanitization on configuration paths allows for potential arbitrary code execution if the agent is manipulated into using a malicious configuration string.