📦

amap-lbs-skill

Name: amap-lbs-skill
Author: AMap-Web

v2.0.0 Revisión del contenido r2 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos🔑 Variables de entorno

Buscar lugares en AMap y planificar rutas

Encontrar lugares y rutas fiables en mapas chinos puede requerir varias llamadas a la API de AMap. Esta skill guía la búsqueda de POI, la planificación de rutas, la planificación de viajes y la visualización de mapas.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Esta habilidad forma parte de un paquete

Instala el paquete completo y obtén en un solo comando todas las habilidades que necesita la tarea.

Amap LBS - Skill oficial de servicios de ubicación · 2 habilidades Instalar paquete completo

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "amap-lbs-skill" from https://skillstore.io/skills/amap-web-amap-lbs-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-lbs-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/amap-web-amap-lbs-skill.md Manifest firmado GET /api/skills/amap-web-amap-lbs-skill/manifest Lockfile firmado GET /api/skills/amap-web-amap-lbs-skill/lockfile

Pruébalo

Usando "amap-lbs-skill". Busca museos en Beijing.

Resultado esperado:

Un enlace de búsqueda de AMap con una nota breve indicando que el usuario puede abrirlo para ver los resultados en el mapa.

Usando "amap-lbs-skill". Planifica una ruta a pie entre dos coordenadas.

Resultado esperado:

Modo de ruta, distancia estimada, tiempo estimado y un enlace de visualización de AMap cuando los datos estén disponibles.

Usando "amap-lbs-skill". Crea una ruta de comida y té en Hangzhou.

Resultado esperado:

Una lista de POI sugeridos agrupados por interés, seguida de un resumen sencillo de la ruta.

Auditoría de seguridad

Riesgo alto

v5 • 23/7/2026 Abrir el informe versionado

Most high and medium static alerts are false positives caused by JavaScript templates, Markdown backticks, Chinese text entropy, or fixed configuration paths. Confirmed risks include outbound AMap requests, plaintext key persistence, credential exposure, mandatory telemetry, and insecure HTTP heatmap links. No prompt injection or obfuscated executable payload was found.

Archivos escaneados

1,212

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (3)

Alto

SKILL.md:155-166

User Input Interpolated Into a Shell Command

The documented curl command inserts a user-supplied location and API key into a double-quoted shell string. Shell substitutions can execute if input is not safely encoded.

The instructions define placeholders from user input and place them directly inside a bash curl command without shell-safe argument construction.

Alto

SKILL.md:142-166

API Key Requested in Chat and Exposed on Command Line

The workflow tells the agent to ask users for an API key, then embeds it in a curl URL. This can expose credentials in chat, history, logs, and process listings.

The cited instructions explicitly request the key from the user and include the key placeholder in the command URL.

Medio

SKILL.md:85-88 SKILL.md:123-128 SKILL.md:252-255 SKILL.md:307-310 SKILL.md:371-374 SKILL.md:407-410

Automatic Usage Telemetry Without Consent

The skill directs agents to call the AMap logging endpoint before six workflows. These mandatory requests reveal skill usage and workflow labels without user consent.

Each cited workflow explicitly says to send an analytics request before performing the requested operation.

Elementos de revisión de capacidades (17)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

SKILL.md:160

Hardcoded URL

https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-lbs-skill

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Alto

SKILL.md:166

Hardcoded URL

curl -s "https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Medio

index.js:28

Node.js fs operations

fs.writeFileSync(CONFIG_FILE, JSON.stringify(config, null, 2), 'utf8');

This writes configuration containing the AMap API key to plaintext config.json without setting restrictive file permissions. Other local users may be able to read the credential.

Medio

SKILL.md:88

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Medio

SKILL.md:128

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Medio

SKILL.md:239

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={数据地址(URL编码)}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Medio

SKILL.md:255

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Medio

SKILL.md:273

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle=grey&dataUrl=https%3A%2F%2Fa

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Medio

SKILL.md:281

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={编码后的数据地址}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Medio

SKILL.md:310

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Medio

SKILL.md:374

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Medio

SKILL.md:410

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Bajo

index.js:103

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Bajo

index.js:138

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Bajo

index.js:181

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Bajo

index.js:216

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Bajo

index.js:257

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Factores de riesgo

⚙️ Comandos externos (50)

🌐 Acceso a red (47)

📁 Acceso al sistema de archivos (7)

index.js:14 index.js:28 index.js:13 index.js:14 index.js:28 index.js:294 index.js:328

🔑 Variables de entorno (2)

index.js:59 index.js:59

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg)](https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/amap-web-amap-lbs-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

AMap-Web. (2026). amap-lbs-skill security audit report (audit version 5) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5

Cita BibTeX

@techreport{amap-web-amap-web-amap-lbs-skill-2026,
  author = {AMap-Web},
  title = {amap-lbs-skill security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-lbs-skill security audit report (audit version 5)"
version: "2.0.0"
type: report
authors:
  - name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5"
identifiers:
  - type: other
    value: "skillstore:amap-web-amap-lbs-skill:audit:5"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Soporte de búsqueda local

Encuentra restaurantes, hoteles, puntos de referencia o servicios en una ciudad seleccionada y devuelve enlaces de búsqueda de AMap.

Planificación de rutas

Compara rutas a pie, en automóvil, en bicicleta o en transporte público entre coordenadas conocidas.

Borrador de viaje

Recopila POI por interés y arma un itinerario sencillo de ciudad para revisar en el mapa.

Prueba estos prompts

Encontrar un lugar

Busca en AMap cafeterías en Hangzhou y dame el enlace de búsqueda.

Buscar cerca

Encuentra hoteles a menos de 1000 metros de Shanghai Hongqiao Railway Station. Pide mi clave de AMap si es necesario.

Planificar una ruta

Planifica una ruta en automóvil de 116.397428,39.90923 a 116.427281,39.903719. Incluye distancia, tiempo y enlace de mapa.

Crear un plan de un día

Crea un plan de un día en Beijing para museos, almuerzo y parques. Usa rutas a pie cuando sea posible y resume cada parada.

Mejores prácticas

Pregunta antes de enviar datos del usuario o claves de API a AMap.
Prefiere variables de entorno en lugar de archivos de configuración locales para las claves de API.
Verifica las coordenadas y los nombres de ciudades antes de llamar a las API de rutas.

Evitar

No pegues claves de API de AMap en transcripciones de chat ni en archivos públicos.
No uses los pasos de telemetry curl sin el consentimiento claro del usuario.
No trates los enlaces de mapas generados como prueba de que una ruta es segura o accesible.