TinyScraper

简单静态网站镜像爬虫。给定 URL 下载整个域名下的 HTML、JS、CSS 和静态资源到本地，支持离线浏览。

TinyScraper 看起来是一个自包含的本地静态网站镜像工具： - 它不会要求 API keys 或外部凭证；网络操作仅用于抓取目标网站。 - 注意它默认忽略 robots.txt 且 MAX_DEPTH 默认为 -1（无限深度），可能导致大规模或不合规抓取；在使用前建议在 conf/.tinyscraper.conf 中设置合适的 DELAY 与 MAX_DEPTH 并先运行 --dry-run。 - 默认保存位置基于 OPENCLAW_WORKSPACE（默认为 ~/.openclaw/workspace/tmp/mirrors），如果你期望输出到当前目录请修改配置或环境变量。 - 如果担心安全或隐藏行为，可在受控环境（沙箱或容器）中先运行 test_crawler.py 和一个小型目标站点的 dry-run，并审阅完整 crawler.py（提供的文件在示例中被截断，若你需要更高置信度，要求完整未截断源码以便进一步审查）。

Type: OpenClaw Skill Name: tiny-scraper Version: 1.0.2 The TinyScraper skill is a functional website mirroring tool, but it contains a potential path traversal vulnerability in `lib/crawler.py`. The `url_to_filepath` function uses `os.path.normpath` and `os.path.join` on components derived directly from crawled URLs without sufficient sanitization against directory traversal sequences (e.g., `../`). This could allow a malicious website to influence the local file path and potentially write files outside the intended `tmp/mirrors/` directory. While this is a significant security flaw, there is no clear evidence of intentional malice, data exfiltration, or hardcoded backdoors, warranting a 'suspicious' rather than 'malicious' classification.