📦

amap-lbs-skill

Name: amap-lbs-skill
Author: AMap-Web

v2.0.0 Révision du contenu r2 Risque élevé ⚙️ Commandes externes🌐 Accès réseau📁 Accès au système de fichiers🔑 Variables d’environnement

Rechercher des lieux AMap et planifier des itinéraires

Trouver des lieux et des itinéraires fiables sur les cartes chinoises peut nécessiter plusieurs appels à l'API AMap. Ce skill guide la recherche de POI, la planification d'itinéraires, la planification de voyages et la visualisation de cartes.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Cette compétence fait partie d’un pack

Installez l’ensemble du pack pour obtenir toutes les compétences nécessaires à la tâche, en une seule commande.

Amap LBS - Skill officiel de services de localisation · 2 compétences Installer le pack complet

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "amap-lbs-skill" from https://skillstore.io/skills/amap-web-amap-lbs-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-lbs-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/amap-web-amap-lbs-skill.md manifest signé GET /api/skills/amap-web-amap-lbs-skill/manifest lockfile signé GET /api/skills/amap-web-amap-lbs-skill/lockfile

Tester

Utilisation de « amap-lbs-skill ». Recherche des musées à Pékin.

Résultat attendu:

Un lien de recherche AMap avec une courte note indiquant que l'utilisateur peut l'ouvrir pour voir les résultats cartographiés.

Utilisation de « amap-lbs-skill ». Planifie un itinéraire à pied entre deux coordonnées.

Résultat attendu:

Mode d'itinéraire, distance estimée, temps estimé et lien de visualisation AMap lorsque les données sont disponibles.

Utilisation de « amap-lbs-skill ». Crée un itinéraire gastronomie et thé à Hangzhou.

Résultat attendu:

Une liste de POI suggérés regroupés par centre d'intérêt, suivie d'un résumé simple de l'itinéraire.

Audit de sécurité

Risque élevé

v5 • 23/07/2026 Ouvrir le rapport versionné

Most high and medium static alerts are false positives caused by JavaScript templates, Markdown backticks, Chinese text entropy, or fixed configuration paths. Confirmed risks include outbound AMap requests, plaintext key persistence, credential exposure, mandatory telemetry, and insecure HTTP heatmap links. No prompt injection or obfuscated executable payload was found.

Fichiers analysés

1,212

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (3)

Élevé

SKILL.md:155-166

User Input Interpolated Into a Shell Command

The documented curl command inserts a user-supplied location and API key into a double-quoted shell string. Shell substitutions can execute if input is not safely encoded.

The instructions define placeholders from user input and place them directly inside a bash curl command without shell-safe argument construction.

Élevé

SKILL.md:142-166

API Key Requested in Chat and Exposed on Command Line

The workflow tells the agent to ask users for an API key, then embeds it in a curl URL. This can expose credentials in chat, history, logs, and process listings.

The cited instructions explicitly request the key from the user and include the key placeholder in the command URL.

Moyen

SKILL.md:85-88 SKILL.md:123-128 SKILL.md:252-255 SKILL.md:307-310 SKILL.md:371-374 SKILL.md:407-410

Automatic Usage Telemetry Without Consent

The skill directs agents to call the AMap logging endpoint before six workflows. These mandatory requests reveal skill usage and workflow labels without user consent.

Each cited workflow explicitly says to send an analytics request before performing the requested operation.

Éléments d’évaluation des capacités (17)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

SKILL.md:160

Hardcoded URL

https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-lbs-skill

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Élevé

SKILL.md:166

Hardcoded URL

curl -s "https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Moyen

index.js:28

Node.js fs operations

fs.writeFileSync(CONFIG_FILE, JSON.stringify(config, null, 2), 'utf8');

This writes configuration containing the AMap API key to plaintext config.json without setting restrictive file permissions. Other local users may be able to read the credential.

Moyen

SKILL.md:88

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Moyen

SKILL.md:128

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Moyen

SKILL.md:239

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={数据地址(URL编码)}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Moyen

SKILL.md:255

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Moyen

SKILL.md:273

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle=grey&dataUrl=https%3A%2F%2Fa

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Moyen

SKILL.md:281

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={编码后的数据地址}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Moyen

SKILL.md:310

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Moyen

SKILL.md:374

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Moyen

SKILL.md:410

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Faible

index.js:103

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Faible

index.js:138

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Faible

index.js:181

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Faible

index.js:216

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Faible

index.js:257

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Facteurs de risque

⚙️ Commandes externes (50)

🌐 Accès réseau (47)

📁 Accès au système de fichiers (7)

index.js:14 index.js:28 index.js:13 index.js:14 index.js:28 index.js:294 index.js:328

🔑 Variables d’environnement (2)

index.js:59 index.js:59

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg)](https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/amap-web-amap-lbs-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

AMap-Web. (2026). amap-lbs-skill security audit report (audit version 5) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5

Citation BibTeX

@techreport{amap-web-amap-web-amap-lbs-skill-2026,
  author = {AMap-Web},
  title = {amap-lbs-skill security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-lbs-skill security audit report (audit version 5)"
version: "2.0.0"
type: report
authors:
  - name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5"
identifiers:
  - type: other
    value: "skillstore:amap-web-amap-lbs-skill:audit:5"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

100

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Assistance à la recherche locale

Trouver des restaurants, hôtels, monuments ou services dans une ville sélectionnée et renvoyer des liens de recherche AMap.

Planification d'itinéraire

Comparer des itinéraires à pied, en voiture, à vélo ou en transports entre des coordonnées connues.

Ébauche de voyage

Collecter des POI par centre d'intérêt et assembler un itinéraire urbain simple pour examen sur carte.

Essayez ces prompts

Trouver un lieu

Recherche sur AMap des cafés à Hangzhou et donne-moi le lien de recherche.

Rechercher à proximité

Trouve des hôtels dans un rayon de 1000 mètres autour de la gare de Shanghai Hongqiao. Demande ma clé AMap si nécessaire.

Planifier un itinéraire

Planifie un itinéraire en voiture de 116.397428,39.90923 à 116.427281,39.903719. Inclus la distance, le temps et le lien de carte.

Créer un programme d'une journée

Crée un programme d'une journée à Pékin pour des musées, un déjeuner et des parcs. Utilise des itinéraires à pied lorsque c'est possible et résume chaque arrêt.

Bonnes pratiques

Demander avant d'envoyer des données utilisateur ou des clés API à AMap.
Préférer les variables d'environnement aux fichiers de configuration locaux pour les clés API.
Vérifier les coordonnées et les noms de villes avant d'appeler les API d'itinéraire.

Éviter

Ne pas coller de clés API AMap dans les transcriptions de chat ou dans des fichiers publics.
Ne pas utiliser les étapes curl de télémétrie sans consentement clair de l'utilisateur.
Ne pas considérer les liens de carte générés comme une preuve qu'un itinéraire est sûr ou accessible.