BB ifq-app-builder
Используйте этот навык OpenClaw / ClawHub, когда пользователь хочет преобразовать три обычных предложения в готовый к сборке пакет подсказок для реального приложения: для ПК, macOS, Windows, iOS, Android, HarmonyOS, WeChat MiniProgram, локального веб-сервера, PWA или CLI. Он направляет в один из 12 режимов платформы, копирует шаблон подсказки, заполняет требования к приемке / упаковке / безопасности / IFQ и проверяет пакет без установки SDK платформы. Не используйте для визуальных результатов, SEO-страниц, только серверных сервисов или чистого редактирования текста.
машинный переводПоказать оригиналСкрыть оригинал«Use this OpenClaw / ClawHub skill when the user wants to turn three or…»
Use this OpenClaw / ClawHub skill when the user wants to turn three ordinary sentences into a verified build-ready prompt bundle for a real app: PC desktop, macOS, Windows, iOS, Android, HarmonyOS, WeChat MiniProgram, self-hosted local web, PWA, or CLI. It routes to one of 12 platform modes, forks a prompt template, fills acceptance / packaging / security / IFQ ambient requirements, and verifies the bundle without installing platform SDKs. Do not use for visual-only design deliverables, SEO pages, backend-only services, or pure copy edits.
Используйте этот навык OpenClaw / ClawHub, когда пользователь хочет преобразовать три обычных предложения в готовый к сборке пакет подсказок для реального…
Как процесс B 70/100 · Почти готов — слабые места: входы и предусловия, повторный запуск, отчётность по ходу
Чем это грозит
Скилл содержит фрагменты, которые в чужих руках стоят денег или данных. Ниже, что рискует потерять тот, кто установит, и что должен сделать автор.
В файлах лежит чужой ключ или токен. Если он живой, ваш агент начнёт ходить в чужие сервисы от чужого имени; если ключ уже отозван, скрипты скилла просто сломаются. Такой ключ мог попасть в скилл вместе с целым рабочим пространством автора, включая личные данные.
Ключ виден всем, кто скачал скилл, и уже мог быть скопирован ботами, которые сканируют каталоги. Отзовите его сейчас, проверьте счета и логи доступа, а потом перевыпустите.
Как улучшить
- Разберите находки высокой серьёзности: каждая стоит 18 баллов безопасности. Если это ложное срабатывание, добавьте код правила в guard.allow в spec.yaml.
- Для Hermes description должен быть одним предложением до 60 символов; условия применения вынесите в раздел «When to Use».
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 2
-
высокая Секреты в коде
secret-private-keyscripts/lib/bundle-scanner.mjs:27Приватный ключ (заголовок ключа без тела)['private-key-pem', /-----BEGIN (?:RSA |DSA |EC |OPENSSH )?PRIVATE KEY-----|-----BEGIN PGP PRIVATE KEY BLOCK-----/],
только заголовок
Средние и низкие: 1
-
низкая Сокрытие от пользователя
en-hide-from-userREADME.en.md:5Инструкция скрыть действия от пользователя (с отрицанием — текст это запрещает)A ClawHub-safe OpenClaw skill: **three sentences in, one verified build-ready app prompt bundle out**. It does not silently install SDKs or pretend store submission has happened. It turns a short app
с отрицанием
Просканировано файлов: 51. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
description-long-hermesdescription 545 символов, а стандарт Hermes требует ≤ 60 (одно предложение, с точкой) - заметка
frontmatter-keyнеизвестное поле фронтматтера "entrypoint" - заметка
frontmatter-keyнеизвестное поле фронтматтера "homepage" - заметка
frontmatter-keyнеизвестное поле фронтматтера "repository"
Процессный рейтинг: все десять параметров 70/100
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 30Повторный запуск. Изменяющих операций: 4, без проверки текущего состояния
- 60Инструменты и файлы. Используются инструменты (bash, node), но во frontmatter они не объявлены
- 60Ошибки и развилки. Развилок: 2
- 60Согласованность. Диалект Hermes требует category и tags
- 100Шаги. Шагов: 42
- 100Результат и критерий готовности. Формат результата и критерий готовности описаны
- 100Когда включается. Сказано, когда применять и когда не применять
- 100Стоимость исполнения. Тело инструкции 1569 токенов
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
- low Разделов верхнего уровня: 10. Похоже на несколько доменов в одном скилле
- low Ответ описан самодельной разметкой (4 тегов): типизированный вызов надёжнее
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Нет примеров входа/выхода
- -36 из 6 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +3Длина description 545 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 11 заголовков
- +3Пошаговые инструкции: 42 пунктов
- +3Формат ответа описан явно
- +4Справочные файлы упоминаются в инструкциях (10 из 12)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 80.