AI内容生成器(付费版)

AI内容生成器 - 小红书文案、视频脚本、多平台内容一键生成。接入SkillPay收费，每次调用0.001 USDT。

要不要装？——谨慎。该技能确实实现了按次收费的工作流，但有几点需要你考虑并在安装前处理： - 源码中包含一个硬编码的 SkillPay API 密钥（备份值）。如果你不提供自己的 SKILLPAY_API_KEY，脚本会使用这个内置密钥与 skillpay.me 交互；这可能导致不可预期的计费或滥用。建议在运行前替换或删除该默认密钥，或强制要求环境变量存在。 - 脚本会向外部域（https://skillpay.me）发送请求并提交 userId、skill_id、amount 等信息。仅在你信任该服务并理解计费流程时才输入真实用户标识或使用真实资金。 - 模板里会尝试检查一个相对路径下的“旧生成器”文件（../../../content-generator/scripts/generator.py），这会访问文件系统的相对位置。虽然只是 exists-check，但如果你对本地文件敏感，应在隔离环境中运行或审查该逻辑并移除不必要的外部路径访问。 - 如果你希望使用此技能： 1) 在受控环境（容器/VM）中测试； 2) 不要用真实账户或重要 userId 做首次测试； 3) 用你自己的 SKILLPAY_API_KEY，并从代码中删除或注释掉硬编码默认密钥； 4) 确认并信任 skillpay.me 提供方或替换为你认可的计费后端。 综上：该技能不是明显恶意，但包含足以造成风险的实现细节（硬编码密钥、外部计费调用、本地路径检查），安装前需解决这些问题或仅在受限环境中运行。

Type: OpenClaw Skill Name: paid-content-generator Version: 1.0.0 The skill implements a paid content generation service that interacts with an external billing API (skillpay.me). It contains a hardcoded API key in 'scripts/skillpay.js', which is a significant security vulnerability. More importantly, 'templates/xiaohongshu.js' contains code that probes for files outside the skill's own directory structure ('../../../content-generator/scripts/generator.py'), indicating potential path traversal or environment discovery attempts. While these behaviors are risky and deviate from best practices, there is no clear evidence of intentional data exfiltration or malicious payloads.