スキル rollinggo-searchhotel

📦

rollinggo-searchhotel

Name: rollinggo-searchhotel
Author: RollingGo-AI

コンテンツリビジョン r1 高リスク 📁 ファイルシステムへのアクセス🔑 環境変数⚙️ 外部コマンド🌐 ネットワークアクセス

RollingGoでホテルを検索

ホテル検索では、多くの場合、最新の料金、タグ、客室の詳細が必要です。このスキルはRollingGo CLIを使用してホテルを検索し、構造化された結果を比較します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "rollinggo-searchhotel" from https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel.md and its manifest at https://skillstore.io/api/skills/rollinggo-ai-rollinggo-searchhotel/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/rollinggo-ai-rollinggo-searchhotel.md 署名済み manifest GET /api/skills/rollinggo-ai-rollinggo-searchhotel/manifest 署名済み lockfile GET /api/skills/rollinggo-ai-rollinggo-searchhotel/lockfile

テストする

「rollinggo-searchhotel」を使用しています。 4月上旬に大人2名で東京ディズニー周辺のホテルを探してください。

期待される結果:

ホテル名、1泊料金、星評価、距離、利用可能な予約リンクを含む、ランク付けされた候補リスト。

「rollinggo-searchhotel」を使用しています。選択したホテルIDの詳細を比較してください。

期待される結果:

客室タイプ、宿泊合計料金、返金条件、各候補を選ぶ理由を簡潔に比較したもの。

「rollinggo-searchhotel」を使用しています。上海ディズニー周辺で、朝食付きのファミリー向けホテルを探してください。

期待される結果:

有効なRollingGoタグを使用した絞り込みリスト。予算への適合性と目的地からの距離に関するメモ付き。

セキュリティ監査

高リスク

v4 • 2026/7/5 バージョン別レポートを開く

The skill is not overtly malicious and I found no prompt injection attempt. It does handle a RollingGo API key and directs users to run mutable third-party CLI packages, so the main risks are credential exposure and supply-chain drift.

スキャンされたファイル

584

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (5)

高

references/claw-host-env.md:31

Environment file access

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

高

references/claw-host-env.md:44

Environment file access

宿主 env 配置**不会**自动传入 sandbox 进程。需在 sandbox 内直接注入 `RollingGo_API_KEY`:`agents.defaults.sandbox.docker.

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

高

SKILL.md:55-63 references/rollinggo-npx.md:53-63 references/rollinggo-uv.md:52-64

Mutable Latest Package Execution

The skill instructs agents to run rollinggo@latest through npx or uvx and to upgrade installed tools before use. A future package release could change executed code without marketplace review.

The instructions explicitly prefer @latest and refresh or upgrade behavior in multiple files. This is a clear supply-chain risk even though it supports freshness.

中

references/rollinggo-npx.md:78-79 references/rollinggo-npx.md:143-145 references/rollinggo-uv.md:79-80 references/rollinggo-uv.md:145-146

API Key In Command-Line Arguments

The reference docs show using --api-key with placeholder secrets. Real API keys passed this way may be exposed through shell history, process listings, or logs.

The documentation repeatedly presents --api-key usage. The values are placeholders, but the recommended pattern creates a common secret exposure channel.

中

references/claw-host-env.md:25-32 references/claw-host-env.md:42-44

Broad Host Secret Injection Guidance

The host environment reference allows API key injection at host and sandbox configuration levels. Shared scopes can expose the same credential to more skills or containers than needed.

The file directly documents host-level and sandbox-level environment injection. The risk depends on host configuration, but the broad-scope guidance is explicit.

機能レビュー項目 (32)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

references/claw-host-env.md:31

Hidden file in home directory

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

高

references/claw-host-env.md:3

Generic API/secret keys

本技能需要在进程里能读到 `RollingGo_API_KEY`。如果宿主在不同 run 间丢失该变量,请使用宿主级注入而非 shell export。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/claw-host-env.md:18

Generic API/secret keys

"env": { "RollingGo_API_KEY": "YOUR_KEY" }

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/claw-host-env.md:28

Generic API/secret keys

{ "env": { "RollingGo_API_KEY": "YOUR_KEY" } }

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/claw-host-env.md:44

Generic API/secret keys

宿主 env 配置**不会**自动传入 sandbox 进程。需在 sandbox 内直接注入 `RollingGo_API_KEY`:`agents.defaults.sandbox.docker.

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-npx.md:69

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-npx.md:73

Generic API/secret keys

export RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-npx.md:76

Generic API/secret keys

$env:RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-npx.md:79

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

高

references/rollinggo-npx.md:82

Generic API/secret keys

宿主经常丢失 `RollingGo_API_KEY` 时,见 [claw-host-env.md](claw-host-env.md)。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-npx.md:145

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

高

references/rollinggo-npx.md:188

Generic API/secret keys

- **缺少 API Key 报错:** 传入 `--api-key`、设置 `RollingGo_API_KEY`,或者如果你跑在任何 claw 风格宿主里,就按 [claw-host-env.md

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-uv.md:70

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-uv.md:74

Generic API/secret keys

export RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-uv.md:77

Generic API/secret keys

$env:RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-uv.md:80

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

高

references/rollinggo-uv.md:83

Generic API/secret keys

宿主经常丢失 `RollingGo_API_KEY` 时,见 [claw-host-env.md](claw-host-env.md)。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

references/rollinggo-uv.md:146

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

高

references/rollinggo-uv.md:192

Generic API/secret keys

- **缺少 API Key 报错:** 传入 `--api-key`、设置 `RollingGo_API_KEY`,或者如果你跑在任何 claw 风格宿主里,就按 [claw-host-env.md

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

SKILL.md:10

Generic API/secret keys

"primaryEnv": "RollingGo_API_KEY",

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

SKILL.md:13

Generic API/secret keys

"env": ["RollingGo_API_KEY"]

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

高

SKILL.md:45

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

中

references/claw-host-env.md:31

Hidden file access

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

中

SKILL.md:57

Ruby/shell backtick execution

- **npm/npx:** `npx --yes --package rollinggo@latest rollinggo ...`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:58

Ruby/shell backtick execution

- **uvx:** `uvx --refresh --from rollinggo@latest rollinggo ...`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:62

Ruby/shell backtick execution

- **npm 全局:** `npm install -g rollinggo@latest`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:63

Ruby/shell backtick execution

- **uv 工具:** `uv tool upgrade rollinggo@latest`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:70

Ruby/shell backtick execution

2. 如果需要标签筛选 → 先执行 `hotel-tags` 获取有效标签字符串

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:71

Ruby/shell backtick execution

3. 执行 `search-hotels` → 解析 JSON → 提取 `hotelId`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:72

Ruby/shell backtick execution

4. 执行 `hotel-detail --hotel-id <id>` 查询房型和价格

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:77-97

Ruby/shell backtick execution

```bash

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

中

SKILL.md:101

Ruby/shell backtick execution

- `--place-type` 必须使用 `rollinggo search-hotels --help` 里显示的精确值

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

リスク要因

📁 ファイルシステムへのアクセス (2)

references/claw-host-env.md:31 references/claw-host-env.md:31

🔑 環境変数 (21)

⚙️ 外部コマンド (21)

🌐 ネットワークアクセス (2)

SKILL.md:4 SKILL.md:47

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/rollinggo-ai-rollinggo-searchhotel/security.svg)](https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/rollinggo-ai-rollinggo-searchhotel/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/rollinggo-ai-rollinggo-searchhotel.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

RollingGo-AI. (2026). rollinggo-searchhotel security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4

BibTeX形式の引用

@techreport{rollinggo-ai-rollinggo-ai-rollinggo-searchhotel-2026,
  author = {RollingGo-AI},
  title = {rollinggo-searchhotel security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "rollinggo-searchhotel security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "RollingGo-AI"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4"
identifiers:
  - type: other
    value: "skillstore:rollinggo-ai-rollinggo-searchhotel:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

観光スポット近くのファミリー向けホテルを探す

ランドマーク近くのホテルを、日付、宿泊者数、予算、ファミリー向けタグで検索します。

予約前に客室料金を比較する

予約リンクを共有する前に、選択したホテルIDのホテル詳細と客室料金を取得します。

絞り込まれたホテル候補リストを作成する

タグ、ブランド、距離、星評価を使用して、旅行向けの焦点を絞った候補リストを作成します。

これらのプロンプトを試す

基本的なホテル検索

2026年4月1日から4月3日まで、大人2名で東京ディズニーリゾート周辺のホテルを検索してください。良い候補を5件表示してください。

予算と星評価フィルター

上海ディズニー周辺で、1泊800 CNY未満の2泊分のホテルを探してください。結果は4つ星と5つ星ホテルに限定してください。

タグベースのファミリー向け検索

利用可能なホテルタグを取得してから、ファミリー向けで朝食付きの東京ディズニー周辺ホテルを検索してください。

詳細なホテル比較

上海の外灘周辺でホテルを3件検索し、各ホテルIDの客室詳細を確認して、料金、客室タイプ、キャンセルポリシーを比較してください。

ベストプラクティス

検索前に、目的地、日付、宿泊者、部屋数、予算を確認します。
客室詳細をリクエストする際は、検索結果のホテルIDを使用します。
RollingGo APIキーはスコープ付きのシークレット設定に保存します。

回避

このスキルを航空券、列車、送迎、レンタカーに使用しないでください。
実際のAPIキーをプロンプトや表示されるコマンド文に直接渡さないでください。
ホテルIDが利用可能な場合は、ホテル名に依存しないでください。

よくある質問

このスキルは何を検索しますか?

RollingGo CLIを通じてホテルを検索し、ホテル詳細、タグ、客室料金、予約リンクを取得できます。

APIキーは必要ですか?

はい。RollingGo CLIには、スコープ付き環境変数または別の対応シークレットソースを通じたRollingGo APIキーが必要です。

予約を完了できますか?

いいえ。予約URLまたはホテル詳細リンクを返すことはできますが、ユーザーはスキルの外部で支払いを完了します。

ホテルタグで絞り込めますか?

はい。有効なタグを取得し、それらを優先、必須、または除外ホテルフィルターとして使用できます。

どのAIツールで使用できますか?

レポートには、Claude、Codex、Claude Codeのサポートが記載されています。

予約前に何を確認すべきですか?

ユーザーは、料金、日付、客室タイプ、キャンセルポリシー、税金、手数料、予約サイトの条件を確認する必要があります。

開発者情報

作成者

RollingGo-AI

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/RollingGo-AI/rollinggo-skills/tree/main/rollinggo-hotel-cn/

参照

62e2a730c5cd74eab4c7164309d810de660fcea3

メンテナンスの新しさ

2026/7/24

利用状況

2 ダウンロード · 68 閲覧

ファイル構成

📁 references/

📄 claw-host-env.md

📄 rollinggo-npx.md

📄 rollinggo-uv.md

📄 SKILL.md

RollingGo-AI のその他のスキル

すべて表示

📦

hotel-core

Migrate from the deprecated hotel-core skill

The old hotel-core skill no longer provides booking functions. This skill gives a clear path to install the replacement hotel booking skill.

生産性表示

📦

rollinggo-hotel-booking

Find and book hotels with RollingGo

Finding suitable hotels and comparing room options can take time. This skill searches hotel inventory, presents options, and guides users through a confirmed booking workflow.

生産性表示

すべて表示

📦

pricewin-hotel-search

Compare Live Hotel Prices Across Four Sources

作成者 price-win

Comparing hotel prices across several booking sites is slow and inconsistent. This skill searches live sources and presents the cheapest dated options in one view.

調査＆学習表示

📦