スキル amap-lbs-skill

📦

amap-lbs-skill

Name: amap-lbs-skill
Author: AMap-Web

v2.0.0 コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数

AMapの場所検索とルート計画

信頼できる中国の地図上の場所やルートを見つけるには、複数のAMap API呼び出しが必要になる場合があります。このスキルは、POI検索、ルート計画、旅行計画、地図可視化を支援します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

このスキルはパックに含まれています

タスクに必要なすべてのスキルを、パックごと 1 コマンドでインストールできます。

Amap LBS - 公式位置情報サービススキル · 2 スキルパック全体をインストール

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "amap-lbs-skill" from https://skillstore.io/skills/amap-web-amap-lbs-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-lbs-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/amap-web-amap-lbs-skill.md 署名済み manifest GET /api/skills/amap-web-amap-lbs-skill/manifest 署名済み lockfile GET /api/skills/amap-web-amap-lbs-skill/lockfile

テストする

「amap-lbs-skill」を使用しています。北京の博物館を検索してください。

期待される結果:

ユーザーが開いて地図上の結果を確認できることを示す短いメモ付きのAMap検索リンク。

「amap-lbs-skill」を使用しています。 2つの座標間の徒歩ルートを計画してください。

期待される結果:

データが利用可能な場合は、ルートモード、推定距離、推定時間、AMap可視化リンク。

「amap-lbs-skill」を使用しています。杭州の食べ物とお茶のルートを作ってください。

期待される結果:

関心分野ごとにグループ化された推奨POIのリストと、その後に続く簡単なルート概要。

セキュリティ監査

高リスク

v5 • 2026/7/23 バージョン別レポートを開く

Most high and medium static alerts are false positives caused by JavaScript templates, Markdown backticks, Chinese text entropy, or fixed configuration paths. Confirmed risks include outbound AMap requests, plaintext key persistence, credential exposure, mandatory telemetry, and insecure HTTP heatmap links. No prompt injection or obfuscated executable payload was found.

スキャンされたファイル

1,212

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

高

SKILL.md:155-166

User Input Interpolated Into a Shell Command

The documented curl command inserts a user-supplied location and API key into a double-quoted shell string. Shell substitutions can execute if input is not safely encoded.

The instructions define placeholders from user input and place them directly inside a bash curl command without shell-safe argument construction.

高

SKILL.md:142-166

API Key Requested in Chat and Exposed on Command Line

The workflow tells the agent to ask users for an API key, then embeds it in a curl URL. This can expose credentials in chat, history, logs, and process listings.

The cited instructions explicitly request the key from the user and include the key placeholder in the command URL.

中

SKILL.md:85-88 SKILL.md:123-128 SKILL.md:252-255 SKILL.md:307-310 SKILL.md:371-374 SKILL.md:407-410

Automatic Usage Telemetry Without Consent

The skill directs agents to call the AMap logging endpoint before six workflows. These mandatory requests reveal skill usage and workflow labels without user consent.

Each cited workflow explicitly says to send an analytics request before performing the requested operation.

機能レビュー項目 (17)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

SKILL.md:160

Hardcoded URL

https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-lbs-skill

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

高

SKILL.md:166

Hardcoded URL

curl -s "https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

中

index.js:28

Node.js fs operations

fs.writeFileSync(CONFIG_FILE, JSON.stringify(config, null, 2), 'utf8');

This writes configuration containing the AMap API key to plaintext config.json without setting restrictive file permissions. Other local users may be able to read the credential.

中

SKILL.md:88

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

中

SKILL.md:128

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

中

SKILL.md:239

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={数据地址(URL编码)}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

中

SKILL.md:255

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

中

SKILL.md:273

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle=grey&dataUrl=https%3A%2F%2Fa

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

中

SKILL.md:281

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={编码后的数据地址}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

中

SKILL.md:310

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

中

SKILL.md:374

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

中

SKILL.md:410

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

低

index.js:103

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

低

index.js:138

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

低

index.js:181

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

低

index.js:216

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

低

index.js:257

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

リスク要因

⚙️ 外部コマンド (50)

🌐 ネットワークアクセス (47)

📁 ファイルシステムへのアクセス (7)

index.js:14 index.js:28 index.js:13 index.js:14 index.js:28 index.js:294 index.js:328

🔑 環境変数 (2)

index.js:59 index.js:59

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg)](https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/amap-web-amap-lbs-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AMap-Web. (2026). amap-lbs-skill security audit report (audit version 5) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5

BibTeX形式の引用

@techreport{amap-web-amap-web-amap-lbs-skill-2026,
  author = {AMap-Web},
  title = {amap-lbs-skill security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-lbs-skill security audit report (audit version 5)"
version: "2.0.0"
type: report
authors:
  - name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5"
identifiers:
  - type: other
    value: "skillstore:amap-web-amap-lbs-skill:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

ローカル検索サポート

選択した都市でレストラン、ホテル、ランドマーク、サービスを見つけ、AMap検索リンクを返します。

ルート計画

既知の座標間で、徒歩、車、自転車、公共交通機関のルートを比較します。

旅行案の作成

関心分野ごとにPOIを収集し、地図で確認するための簡単な都市旅程を組み立てます。

これらのプロンプトを試す

場所を探す

杭州のコーヒーショップをAMapで検索し、検索リンクを教えてください。

周辺を検索

上海虹橋駅から1000メートル以内のホテルを見つけてください。必要であれば私のAMapキーを尋ねてください。

ルートを計画

116.397428,39.90923から116.427281,39.903719までの車のルートを計画してください。距離、時間、地図リンクを含めてください。

1日の計画を作成

博物館、昼食、公園を含む北京の1日プランを作成してください。可能な場合は徒歩ルートを使用し、各立ち寄り先を要約してください。

ベストプラクティス

ユーザーデータやAPIキーをAMapに送信する前に確認してください。
APIキーにはローカル設定ファイルよりも環境変数を優先してください。
ルートAPIを呼び出す前に、座標と都市名を確認してください。

回避

AMap APIキーをチャットの記録や公開ファイルに貼り付けないでください。
明確なユーザー同意なしにテレメトリのcurl手順を使用しないでください。
生成された地図リンクを、そのルートが安全またはアクセス可能である証拠として扱わないでください。

よくある質問

このスキルにはAPIキーが必要ですか？

はい。詳細なPOI検索、ジオコーディング、ルーティング、旅行計画にはAMap Web Service APIキーが必要です。

どの地図プロバイダーを使用しますか？

公開リンクとWeb Service APIを通じて、Gaode Mapとしても知られるAMapを使用します。

ルートを計画できますか？

はい。有効な座標が提供されている場合、徒歩、車、自転車、公共交通機関のルートリクエストをサポートします。

認証情報を保存しますか？

Web Serviceキーをconfig.jsonに保存できます。共有マシンでは環境変数の方が安全です。

Claude、Codex、Claude Codeで使用できますか？

はい。メタデータには、サポート対象ツールとしてClaude、Codex、Claude Codeが記載されています。

テレメトリを送信しますか？

スキルの手順にはAMapログリクエストが含まれています。ユーザーは、それらのリクエストが実行される前に承認する必要があります。

開発者情報

作成者

AMap-Web

ライセンス

MIT

作者バージョン

v2.0.0

Skillstore リビジョン

リポジトリ

https://github.com/AMap-Web/amap-lbs-skill/tree/main/

参照

89edfdc710d0846129dcee6a929477b04f08052c

メンテナンスの新しさ

2026/7/25

利用状況

9 ダウンロード · 63 閲覧

ファイル構成

📄 .gitignore

📄 config.example.json

📄 index.js

📄 LICENSE

📄 package.json

📄 README.md

📄 SKILL.md