📦

amap-lbs-skill

Name: amap-lbs-skill
Author: AMap-Web

v2.0.0 Revisão do conteúdo r2 Risco alto ⚙️ Comandos externos🌐 Acesso à rede📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente

Pesquisar Locais no AMap e Planejar Rotas

Encontrar locais e rotas confiáveis em mapas chineses pode exigir várias chamadas à API do AMap. Esta skill orienta a pesquisa de POIs, o planejamento de rotas, o planejamento de viagens e a visualização de mapas.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Esta habilidade faz parte de um pacote

Instale o pacote completo para obter todas as habilidades que a tarefa exige, com um único comando.

Amap LBS - Skill Oficial de Serviços de Localização · 2 habilidades Instalar pacote completo

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "amap-lbs-skill" from https://skillstore.io/skills/amap-web-amap-lbs-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-lbs-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/amap-web-amap-lbs-skill.md manifest assinado GET /api/skills/amap-web-amap-lbs-skill/manifest lockfile assinado GET /api/skills/amap-web-amap-lbs-skill/lockfile

Testar

Usando "amap-lbs-skill". Pesquise museus em Pequim.

Resultado esperado:

Um link de pesquisa do AMap com uma breve observação de que o usuário pode abri-lo para visualizar os resultados no mapa.

Usando "amap-lbs-skill". Planeje uma rota a pé entre duas coordenadas.

Resultado esperado:

Modo de rota, distância estimada, tempo estimado e um link de visualização do AMap quando os dados estiverem disponíveis.

Usando "amap-lbs-skill". Crie uma rota de comida e chá em Hangzhou.

Resultado esperado:

Uma lista de POIs sugeridos agrupados por interesse, seguida por um resumo simples da rota.

Auditoria de segurança

Risco alto

v5 • 23/07/2026 Abrir o relatório versionado

Most high and medium static alerts are false positives caused by JavaScript templates, Markdown backticks, Chinese text entropy, or fixed configuration paths. Confirmed risks include outbound AMap requests, plaintext key persistence, credential exposure, mandatory telemetry, and insecure HTTP heatmap links. No prompt injection or obfuscated executable payload was found.

Arquivos analisados

1,212

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (3)

Alto

SKILL.md:155-166

User Input Interpolated Into a Shell Command

The documented curl command inserts a user-supplied location and API key into a double-quoted shell string. Shell substitutions can execute if input is not safely encoded.

The instructions define placeholders from user input and place them directly inside a bash curl command without shell-safe argument construction.

Alto

SKILL.md:142-166

API Key Requested in Chat and Exposed on Command Line

The workflow tells the agent to ask users for an API key, then embeds it in a curl URL. This can expose credentials in chat, history, logs, and process listings.

The cited instructions explicitly request the key from the user and include the key placeholder in the command URL.

Médio

SKILL.md:85-88 SKILL.md:123-128 SKILL.md:252-255 SKILL.md:307-310 SKILL.md:371-374 SKILL.md:407-410

Automatic Usage Telemetry Without Consent

The skill directs agents to call the AMap logging endpoint before six workflows. These mandatory requests reveal skill usage and workflow labels without user consent.

Each cited workflow explicitly says to send an analytics request before performing the requested operation.

Itens de revisão de capacidade (17)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Alto

SKILL.md:160

Hardcoded URL

https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-lbs-skill

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Alto

SKILL.md:166

Hardcoded URL

curl -s "https://restapi.amap.com/v3/geocode/geo?address={位置}&output=JSON&key={用户的key}&appname=amap-

The template puts the user API key in an HTTPS query string. The curl form also exposes it on a shell command line and potentially in history or process listings.

Médio

index.js:28

Node.js fs operations

fs.writeFileSync(CONFIG_FILE, JSON.stringify(config, null, 2), 'utf8');

This writes configuration containing the AMap API key to plaintext config.json without setting restrictive file permissions. Other local users may be able to read the credential.

Médio

SKILL.md:88

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Médio

SKILL.md:128

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Médio

SKILL.md:239

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={数据地址(URL编码)}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Médio

SKILL.md:255

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Médio

SKILL.md:273

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle=grey&dataUrl=https%3A%2F%2Fa

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Médio

SKILL.md:281

Hardcoded URL

http://a.amap.com/jsapi_demo_show/static/openclaw/heatmap.html?mapStyle={地图风格}&dataUrl={编码后的数据地址}

The generated heatmap link uses plaintext HTTP and includes the data source URL in its query. Network observers can read or alter the request.

Médio

SKILL.md:310

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Médio

SKILL.md:374

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Médio

SKILL.md:410

Hardcoded URL

curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&product=skill_openclaw&platform=JS&

The instructions require a curl request to the AMap logging endpoint before the user operation. This creates automatic usage telemetry without an opt-in step.

Baixo

index.js:103

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Baixo

index.js:138

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Baixo

index.js:181

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Baixo

index.js:216

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Baixo

index.js:257

HTTP client library

const response = await axios.get(url, { params: requestParams });

This line makes an outbound HTTPS request to AMap with the configured API key and search or route parameters. Expected functionality still discloses user location data to a third party.

Fatores de risco

⚙️ Comandos externos (50)

🌐 Acesso à rede (47)

📁 Acesso ao sistema de arquivos (7)

index.js:14 index.js:28 index.js:13 index.js:14 index.js:28 index.js:294 index.js:328

🔑 Variáveis de ambiente (2)

index.js:59 index.js:59

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg)](https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/amap-web-amap-lbs-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-lbs-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/amap-web-amap-lbs-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

AMap-Web. (2026). amap-lbs-skill security audit report (audit version 5) [Author version 2.0.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5

Citação BibTeX

@techreport{amap-web-amap-web-amap-lbs-skill-2026,
  author = {AMap-Web},
  title = {amap-lbs-skill security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5},
  note = {Author version 2.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-lbs-skill security audit report (audit version 5)"
version: "2.0.0"
type: report
authors:
  - name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-lbs-skill/audits/5"
identifiers:
  - type: other
    value: "skillstore:amap-web-amap-lbs-skill:audit:5"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Médio

Arquitetura

100

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Suporte a Pesquisa Local

Encontre restaurantes, hotéis, pontos turísticos ou serviços em uma cidade selecionada e retorne links de pesquisa do AMap.

Planejamento de Rotas

Compare rotas a pé, de carro, de bicicleta ou por transporte público entre coordenadas conhecidas.

Rascunho de Viagem

Colete POIs por interesse e monte um itinerário simples pela cidade para revisão no mapa.

Teste estes prompts

Encontrar um Local

Pesquise no AMap por cafeterias em Hangzhou e me dê o link de pesquisa.

Pesquisar nas Proximidades

Encontre hotéis a até 1000 metros da Shanghai Hongqiao Railway Station. Peça minha chave do AMap se necessário.

Planejar uma Rota

Planeje uma rota de carro de 116.397428,39.90923 até 116.427281,39.903719. Inclua distância, tempo e link do mapa.

Criar um Plano de Um Dia

Crie um plano de um dia em Pequim para museus, almoço e parques. Use rotas a pé sempre que possível e resuma cada parada.

Boas práticas

Peça confirmação antes de enviar dados do usuário ou chaves de API para o AMap.
Prefira variáveis de ambiente a arquivos de configuração locais para chaves de API.
Verifique coordenadas e nomes de cidades antes de chamar APIs de rota.

Evitar

Não cole chaves de API do AMap em transcrições de chat ou arquivos públicos.
Não use as etapas de telemetry curl sem consentimento claro do usuário.
Não trate links de mapa gerados como prova de que uma rota é segura ou acessível.