Навыки rollinggo-searchhotel

📦

rollinggo-searchhotel

Name: rollinggo-searchhotel
Author: RollingGo-AI

Ревизия содержимого r1 Высокий риск 📁 Доступ к файловой системе🔑 Переменные окружения⚙️ Внешние команды🌐 Доступ к сети

Поиск отелей с RollingGo

Для поиска отелей часто нужны актуальные цены, теги и сведения о номерах. Этот навык использует RollingGo CLI, чтобы находить отели и сравнивать структурированные результаты.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "rollinggo-searchhotel" from https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel.md and its manifest at https://skillstore.io/api/skills/rollinggo-ai-rollinggo-searchhotel/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/rollinggo-ai-rollinggo-searchhotel.md Подписанный manifest GET /api/skills/rollinggo-ai-rollinggo-searchhotel/manifest Подписанный lockfile GET /api/skills/rollinggo-ai-rollinggo-searchhotel/lockfile

Протестировать

Использование «rollinggo-searchhotel». Найди отели рядом с Tokyo Disney для двух взрослых в начале апреля.

Ожидаемый результат:

Ранжированная подборка с названиями отелей, ценами за ночь, звездностью, расстоянием и доступными ссылками для бронирования.

Использование «rollinggo-searchhotel». Сравни сведения для выбранных hotel IDs.

Ожидаемый результат:

Краткое сравнение типов номеров, общей стоимости проживания, условий возврата и причин выбрать каждый вариант.

Использование «rollinggo-searchhotel». Найди семейные отели с завтраком рядом с Shanghai Disney.

Ожидаемый результат:

Отфильтрованный список с использованием допустимых тегов RollingGo, с примечаниями о соответствии бюджету и расстоянии до места назначения.

Аудит безопасности

Высокий риск

v4 • 05.07.2026 Открыть версионный отчет

The skill is not overtly malicious and I found no prompt injection attempt. It does handle a RollingGo API key and directs users to run mutable third-party CLI packages, so the main risks are credential exposure and supply-chain drift.

Просканировано файлов

584

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (5)

Высокий

references/claw-host-env.md:31

Environment file access

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

Высокий

references/claw-host-env.md:44

Environment file access

宿主 env 配置**不会**自动传入 sandbox 进程。需在 sandbox 内直接注入 `RollingGo_API_KEY`:`agents.defaults.sandbox.docker.

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

Высокий

SKILL.md:55-63 references/rollinggo-npx.md:53-63 references/rollinggo-uv.md:52-64

Mutable Latest Package Execution

The skill instructs agents to run rollinggo@latest through npx or uvx and to upgrade installed tools before use. A future package release could change executed code without marketplace review.

The instructions explicitly prefer @latest and refresh or upgrade behavior in multiple files. This is a clear supply-chain risk even though it supports freshness.

Средний

references/rollinggo-npx.md:78-79 references/rollinggo-npx.md:143-145 references/rollinggo-uv.md:79-80 references/rollinggo-uv.md:145-146

API Key In Command-Line Arguments

The reference docs show using --api-key with placeholder secrets. Real API keys passed this way may be exposed through shell history, process listings, or logs.

The documentation repeatedly presents --api-key usage. The values are placeholders, but the recommended pattern creates a common secret exposure channel.

Средний

references/claw-host-env.md:25-32 references/claw-host-env.md:42-44

Broad Host Secret Injection Guidance

The host environment reference allows API key injection at host and sandbox configuration levels. Shared scopes can expose the same credential to more skills or containers than needed.

The file directly documents host-level and sandbox-level environment injection. The risk depends on host configuration, but the broad-scope guidance is explicit.

Пункты проверки возможностей (32)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

references/claw-host-env.md:31

Hidden file in home directory

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

Высокий

references/claw-host-env.md:3

Generic API/secret keys

本技能需要在进程里能读到 `RollingGo_API_KEY`。如果宿主在不同 run 间丢失该变量,请使用宿主级注入而非 shell export。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/claw-host-env.md:18

Generic API/secret keys

"env": { "RollingGo_API_KEY": "YOUR_KEY" }

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/claw-host-env.md:28

Generic API/secret keys

{ "env": { "RollingGo_API_KEY": "YOUR_KEY" } }

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/claw-host-env.md:44

Generic API/secret keys

宿主 env 配置**不会**自动传入 sandbox 进程。需在 sandbox 内直接注入 `RollingGo_API_KEY`:`agents.defaults.sandbox.docker.

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-npx.md:69

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-npx.md:73

Generic API/secret keys

export RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-npx.md:76

Generic API/secret keys

$env:RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-npx.md:79

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

Высокий

references/rollinggo-npx.md:82

Generic API/secret keys

宿主经常丢失 `RollingGo_API_KEY` 时,见 [claw-host-env.md](claw-host-env.md)。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-npx.md:145

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

Высокий

references/rollinggo-npx.md:188

Generic API/secret keys

- **缺少 API Key 报错:** 传入 `--api-key`、设置 `RollingGo_API_KEY`,或者如果你跑在任何 claw 风格宿主里,就按 [claw-host-env.md

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-uv.md:70

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-uv.md:74

Generic API/secret keys

export RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-uv.md:77

Generic API/secret keys

$env:RollingGo_API_KEY="YOUR_API_KEY"

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-uv.md:80

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

Высокий

references/rollinggo-uv.md:83

Generic API/secret keys

宿主经常丢失 `RollingGo_API_KEY` 时,见 [claw-host-env.md](claw-host-env.md)。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

references/rollinggo-uv.md:146

Generic API/secret keys

rollinggo hotel-tags --api-key YOUR_API_KEY

This line documents passing an API key on the command line, which can expose secrets through shell history or process listings. The example uses placeholders, but the usage pattern is real.

Высокий

references/rollinggo-uv.md:192

Generic API/secret keys

- **缺少 API Key 报错:** 传入 `--api-key`、设置 `RollingGo_API_KEY`,或者如果你跑在任何 claw 风格宿主里,就按 [claw-host-env.md

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

SKILL.md:10

Generic API/secret keys

"primaryEnv": "RollingGo_API_KEY",

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

SKILL.md:13

Generic API/secret keys

"env": ["RollingGo_API_KEY"]

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Высокий

SKILL.md:45

Generic API/secret keys

解析顺序:`--api-key` 参数 → `RollingGo_API_KEY` 环境变量。

The skill intentionally uses RollingGo_API_KEY as a credential for a third-party CLI and API. This is expected behavior, but it is real secret handling in the user environment.

Средний

references/claw-host-env.md:31

Hidden file access

或写入宿主的 `.env` 文件:`~/.openclaw/.env`(macOS/Linux)/ `%USERPROFILE%\.openclaw\.env`(Windows)。

The documentation recommends storing or injecting the API key in host or sandbox configuration. This can persist secrets and broaden exposure if the configuration is shared.

Средний

SKILL.md:57

Ruby/shell backtick execution

- **npm/npx:** `npx --yes --package rollinggo@latest rollinggo ...`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:58

Ruby/shell backtick execution

- **uvx:** `uvx --refresh --from rollinggo@latest rollinggo ...`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:62

Ruby/shell backtick execution

- **npm 全局:** `npm install -g rollinggo@latest`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:63

Ruby/shell backtick execution

- **uv 工具:** `uv tool upgrade rollinggo@latest`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:70

Ruby/shell backtick execution

2. 如果需要标签筛选 → 先执行 `hotel-tags` 获取有效标签字符串

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:71

Ruby/shell backtick execution

3. 执行 `search-hotels` → 解析 JSON → 提取 `hotelId`

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:72

Ruby/shell backtick execution

4. 执行 `hotel-detail --hotel-id <id>` 查询房型和价格

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:77-97

Ruby/shell backtick execution

```bash

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Средний

SKILL.md:101

Ruby/shell backtick execution

- `--place-type` 必须使用 `rollinggo search-hotels --help` 里显示的精确值

This instruction causes the agent or user to run RollingGo through npm, uv, or the installed CLI. Running third-party CLI code is intended, but it is a real external command execution path.

Факторы риска

📁 Доступ к файловой системе (2)

references/claw-host-env.md:31 references/claw-host-env.md:31

🔑 Переменные окружения (21)

⚙️ Внешние команды (21)

🌐 Доступ к сети (2)

SKILL.md:4 SKILL.md:47

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/rollinggo-ai-rollinggo-searchhotel/security.svg)](https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/rollinggo-ai-rollinggo-searchhotel/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/rollinggo-ai-rollinggo-searchhotel.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

RollingGo-AI. (2026). rollinggo-searchhotel security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4

Цитата BibTeX

@techreport{rollinggo-ai-rollinggo-ai-rollinggo-searchhotel-2026,
  author = {RollingGo-AI},
  title = {rollinggo-searchhotel security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "rollinggo-searchhotel security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "RollingGo-AI"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/rollinggo-ai-rollinggo-searchhotel/audits/4"
identifiers:
  - type: other
    value: "skillstore:rollinggo-ai-rollinggo-searchhotel:audit:4"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Поиск семейных отелей рядом с достопримечательностями

Ищите отели рядом с ориентиром с учетом дат, количества гостей, бюджета и тегов для семейного отдыха.

Сравнение цен на номера перед бронированием

Получайте сведения об отелях и цены на номера для выбранных hotel ID перед отправкой ссылок для бронирования.

Создание отфильтрованных подборок отелей

Используйте теги, бренды, расстояние и звездность, чтобы создать точную подборку для поездки.

Попробуйте эти промпты

Базовый поиск отелей

Найди отели рядом с Tokyo Disney Resort для двух взрослых с 1 апреля по 3 апреля 2026 года. Покажи пять хороших вариантов.

Фильтр по бюджету и звездности

Найди отели рядом с Shanghai Disney на две ночи дешевле 800 CNY за ночь. Ограничь результаты отелями с четырьмя и пятью звездами.

Семейный поиск на основе тегов

Получи доступные теги отелей, затем найди отели Tokyo Disney, подходящие для семей и включающие завтрак.

Подробное сравнение отелей

Найди три отеля рядом с набережной Вайтань в Шанхае, проверь сведения о номерах для каждого hotel ID и сравни цену, тип номера и правила отмены.

Лучшие практики

Подтвердите направление, даты, гостей, номера и бюджет перед поиском.
Используйте hotel IDs из результатов поиска при запросе сведений о номерах.
Храните API-ключ RollingGo в ограниченной конфигурации секретов.

Избегать

Не используйте этот навык для авиабилетов, поездов, трансферов или аренды автомобилей.
Не передавайте реальные API-ключи напрямую в prompts или видимом тексте команд.
Не полагайтесь на названия отелей, когда доступен hotel ID.