招标项目分析技能

分析招标Excel文件，存储信息到MySQL，支持查询管理、时间跟踪和报告生成的招标项目分析技能。

要点与建议： 1) 不要直接使用仓库中的 config.json：它包含明文 MySQL root 凭据。安装/运行前，用受限权限的数据库账号并把凭据移到安全位置（环境变量或密钥管理器），不要把密码提交到版本库。 2) 在受控/隔离环境中测试（临时 VM 或容器），避免代码直接访问生产数据库。确保 DB 账号仅有必要的最低权限（只读/写指定表，避免使用 root）。 3) 审核并限制“自定义 SQL”路径：如果打算让代理或非受信用户调用该技能，应移除或限制交互式的任意 SQL 执行入口，或在代理层面禁止自动运行交互式命令。 4) 安装前确认依赖安装流程：package.json 内含 pip 安装建议，但注册表没有正式 install spec，安装时手动执行 pip install pandas mysql-connector-python openpyxl 并校验包来源为官方 PyPI。 5) 检查备份与写入路径：config.json 指向 /var/backup 并启用备份，确保备份路径的权限和磁盘空间符合安全策略，避免覆盖或泄露敏感数据。 6) 若信任来源并打算使用：修改 config.json 中的凭据并重新审计代码（尤其是 import.py / query.py 中对 SQL 的构建/执行），在真实环境使用前运行 test_skill 仅在隔离环境中执行。 总之：功能一致且实现清晰，但在凭据管理与任意 SQL 执行点上存在实际安全风险；在生产环境使用前应收紧凭据、权限与输入验证。

Type: OpenClaw Skill Name: my-first-skill Version: 1.0.0 The skill bundle provides legitimate bidding project management functionality but contains high-risk features and security vulnerabilities. Specifically, `scripts/query.py` includes a feature for executing arbitrary SQL queries from user input, and `scripts/test_skill.py` uses `subprocess.run` to execute local scripts. Additionally, `config.json` contains a hardcoded default database password ('MySQL@123456'). While these appear to be functional design choices rather than intentional malware, they represent significant attack surfaces for SQL and command injection.