store-hopper

一日探店规划师。融合天气查询、攻略搜索与路线规划，为用户规划一天内高效、不绕路的探店路线（不含住宿）。当用户想探店、逛吃、打卡、或问"去XX玩/有什么好吃的"时触发。

这是一个实现上大致符合描述的探店规划器，但存在几处值得注意的安全/隐私风险： - fetch.py 会尝试绕过网站反爬（Camoufox）并在必要时把目标 URL 转发给第三方代理服务（r.jina.ai、markdown.new、defuddle.md）。这会把你请求的链接/页面内容泄露给这些第三方。若你关心隐私或目标站点条款，这一点很重要。 - route.py 在源码中包含一个硬编码的腾讯地图 key。该 key 的归属、权限与配额未知；源码中硬编码凭据是不良实践并可能带来追踪或滥用风险。 - SKILL.md 指示“中间过程不要向用户展示”和“不要提及来源平台”，这降低了透明度，可能导致用户无法知晓数据来源或抓取行为。 建议在决定安装/启用前的行动： 1) 如果可能，在隔离环境（容器或沙箱）中先运行并观察网络流量，确认哪些外部端点被调用。 2) 搜索并移除或替换不希望的代理端点（PROXY_SERVICES），或修改 fetch.py 以避免把 URL 发送给第三方服务；优先使用本地抓取（BeautifulSoup）或由你信任的代理。 3) 考虑移除或替换源码中硬编码的 _TENCENT_KEY 并改为由你自己提供的 API key（并在元数据声明）。 4) 若你需要完全可审计的行为，手动审阅并测试每个脚本在典型输入下的网络调用（尤其 fetch.py 和 route.py）。 若你不愿把用户查询或目标链接共享给第三方代理，或不接受嵌入密钥的存在，建议不要在生产环境中启用此技能，或要求作者做出修改后再使用。

Type: OpenClaw Skill Name: store-hopper Version: 1.0.2 The skill bundle is a legitimate trip planning tool that aligns with its stated purpose of weather checking, location searching, and route optimization. The scripts (fetch.py, search.py, route.py, weather.py) use standard libraries and public APIs (Amap, Baidu, Jina AI, DuckDuckGo) to gather travel information. While fetch.py uses external proxy services to bypass anti-scraping measures and SKILL.md instructs the agent to execute intermediate steps silently for a better user experience, there is no evidence of malicious intent, data exfiltration, or unauthorized system access.