📦

amap-lbs-skill

Name: amap-lbs-skill
Author: AMap-Web

v2.0.0 Inhaltsrevision r2 Hohes Risiko ⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff🔑 Umgebungsvariablen

AMap-Orte suchen und Routen planen

Zuverlässige chinesische Kartenorte und Routen zu finden, kann mehrere AMap-API-Aufrufe erfordern. Dieser Skill unterstützt bei POI-Suche, Routenplanung, Reiseplanung und Kartenvisualisierung.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Dieser Skill ist Teil eines Skill-Pakets

Installieren Sie das gesamte Skill-Paket, um mit einem Befehl alle Skills zu erhalten, die die Aufgabe braucht.

Amap LBS - Offizieller Location Services Skill · 2 Skills Gesamtes Paket installieren

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "amap-lbs-skill" from https://skillstore.io/skills/amap-web-amap-lbs-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-lbs-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/amap-web-amap-lbs-skill.md Signiertes manifest GET /api/skills/amap-web-amap-lbs-skill/manifest Signiertes lockfile GET /api/skills/amap-web-amap-lbs-skill/lockfile

Testen

„amap-lbs-skill“ wird verwendet. Suche nach Museen in Beijing.

Erwartetes Ergebnis:

Ein AMap-Suchlink mit einem kurzen Hinweis, dass der Benutzer ihn öffnen kann, um die kartierten Ergebnisse anzusehen.

„amap-lbs-skill“ wird verwendet. Plane eine Gehroute zwischen zwei Koordinaten.

Erwartetes Ergebnis:

Routenmodus, geschätzte Entfernung, geschätzte Zeit und ein AMap-Visualisierungslink, sofern Daten verfügbar sind.

„amap-lbs-skill“ wird verwendet. Erstelle eine Essens- und Tee-Route für Hangzhou.

Erwartetes Ergebnis:

Eine Liste vorgeschlagener POIs, nach Interessen gruppiert, gefolgt von einer einfachen Routenzusammenfassung.

Sicherheitsaudit

Hohes Risiko

v5 • 23.7.2026 Versionsbericht öffnen

Most high and medium static alerts are false positives caused by JavaScript templates, Markdown backticks, Chinese text entropy, or fixed configuration paths. Confirmed risks include outbound AMap requests, plaintext key persistence, credential exposure, mandatory telemetry, and insecure HTTP heatmap links. No prompt injection or obfuscated executable payload was found.

Gescannte Dateien

1,212

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (3)

Hoch

SKILL.md:155-166

User Input Interpolated Into a Shell Command

The documented curl command inserts a user-supplied location and API key into a double-quoted shell string. Shell substitutions can execute if input is not safely encoded.

The instructions define placeholders from user input and place them directly inside a bash curl command without shell-safe argument construction.

Hoch

SKILL.md:142-166

API Key Requested in Chat and Exposed on Command Line

The workflow tells the agent to ask users for an API key, then embeds it in a curl URL. This can expose credentials in chat, history, logs, and process listings.

The cited instructions explicitly request the key from the user and include the key placeholder in the command URL.

Mittel

SKILL.md:85-88 SKILL.md:123-128 SKILL.md:252-255 SKILL.md:307-310 SKILL.md:371-374 SKILL.md:407-410

Automatic Usage Telemetry Without Consent

The skill directs agents to call the AMap logging endpoint before six workflows. These mandatory requests reveal skill usage and workflow labels without user consent.

Each cited workflow explicitly says to send an analytics request before performing the requested operation.

Elemente der Fähigkeitsprüfung (17)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

SKILL.md:160

Hardcoded URL

https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-lbs-skill

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Hoch

SKILL.md:166

Hardcoded URL

curl -s "https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Mittel

index.js:28

Node.js fs operations

fs.writeFileSync(CONFIG_FILE, JSON.stringify(config, null, 2), 'utf8');

This writes configuration containing the AMap API key to plaintext config.json without setting restrictive file permissions. Other local users may be able to read the credential.

Mittel

SKILL.md:88

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Mittel

SKILL.md:128

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Mittel

SKILL.md:239

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={数据地址(URL编码)}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Mittel

SKILL.md:255

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Mittel

SKILL.md:273

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle=grey&dataUrl=https%3A%2F%2Fa

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Mittel

SKILL.md:281

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={编码后的数据地址}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Mittel

SKILL.md:310

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Mittel

SKILL.md:374

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Mittel

SKILL.md:410

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Niedrig

index.js:103

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Niedrig

index.js:138

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Niedrig

index.js:181

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Niedrig

index.js:216

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Niedrig

index.js:257

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Risikofaktoren

⚙️ Externe Befehle (50)

🌐 Netzwerkzugriff (47)

📁 Dateisystemzugriff (7)

index.js:14 index.js:28 index.js:13 index.js:14 index.js:28 index.js:294 index.js:328

🔑 Umgebungsvariablen (2)

index.js:59 index.js:59

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg)](https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/amap-web-amap-lbs-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

AMap-Web. (2026). amap-lbs-skill security audit report (audit version 5) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5

BibTeX-Zitat

@techreport{amap-web-amap-web-amap-lbs-skill-2026,
  author = {AMap-Web},
  title = {amap-lbs-skill security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-lbs-skill security audit report (audit version 5)"
version: "2.0.0"
type: report
authors:
  - name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5"
identifiers:
  - type: other
    value: "skillstore:amap-web-amap-lbs-skill:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Unterstützung bei der lokalen Suche

Findet Restaurants, Hotels, Sehenswürdigkeiten oder Dienstleistungen in einer ausgewählten Stadt und gibt AMap-Suchlinks zurück.

Routenplanung

Vergleicht Geh-, Fahr-, Rad- oder ÖPNV-Routen zwischen bekannten Koordinaten.

Reiseentwurf

Sammelt POIs nach Interesse und stellt eine einfache Stadt-Reiseroute zur Kartenprüfung zusammen.

Diese Prompts ausprobieren

Einen Ort finden

Suche in AMap nach Cafés in Hangzhou und gib mir den Suchlink.

In der Nähe suchen

Finde Hotels im Umkreis von 1000 Metern vom Bahnhof Shanghai Hongqiao. Frage bei Bedarf nach meinem AMap-Schlüssel.

Eine Route planen

Plane eine Fahrtroute von 116.397428,39.90923 nach 116.427281,39.903719. Gib Entfernung, Zeit und Kartenlink an.

Einen Tagesplan erstellen

Erstelle einen eintägigen Beijing-Plan für Museen, Mittagessen und Parks. Verwende nach Möglichkeit Gehstrecken und fasse jeden Stopp zusammen.

Bewährte Praktiken

Frage nach, bevor Benutzerdaten oder API-Schlüssel an AMap gesendet werden.
Bevorzuge Umgebungsvariablen gegenüber lokalen Konfigurationsdateien für API-Schlüssel.
Überprüfe Koordinaten und Städtenamen, bevor Routen-APIs aufgerufen werden.

Vermeiden

AMap-API-Schlüssel nicht in Chat-Transkripte oder öffentliche Dateien einfügen.
Die Telemetrie-curl-Schritte nicht ohne klare Zustimmung des Benutzers verwenden.
Generierte Kartenlinks nicht als Beweis dafür behandeln, dass eine Route sicher oder barrierefrei ist.