技能 amap-jsapi-skill
📦
amap-jsapi-skill
v1.1.0 内容修订 r2 高风险 🌐 网络访问⚙️ 外部命令⚡ 包含脚本🔑 环境变量
构建 AMap JSAPI Web 地图
AMap JSAPI 的设置包含许多生命周期、密钥和插件细节，可能会拖慢 Web 地图开发。本技能提供聚焦的参考资料和示例，用于安全的地图初始化、覆盖物、图层、路线规划、搜索和事件处理。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "amap-jsapi-skill" from https://skillstore.io/skills/amap-web-amap-jsapi-skill.md and its manifest at https://skillstore.io/api/skills/amap-web-amap-jsapi-skill/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“amap-jsapi-skill”。 为北京办公室位置创建一个基础 AMap JSAPI 页面。
预期结果:
- 一份简洁的设置计划，涵盖 loader、占位密钥、安全配置和地图容器。
- 一份地图初始化大纲，包含中心坐标、3D 视图设置、比例尺控件和清理指导。
正在使用“amap-jsapi-skill”。 添加带有标记和详情弹窗的可搜索门店。
预期结果:
- 一套推荐的功能流程，涵盖自动补全、POI 搜索、标记创建和所选门店详情展示。
- 提醒在将门店名称和地址插入 HTML 内容前进行安全净化。
正在使用“amap-jsapi-skill”。 为生产环境准备一个 AMap 项目。
预期结果:
- 一份检查清单，涵盖 serviceHost 代理使用、安全密钥处理、必需插件、错误状态和地图销毁。
- 一条关于遥测、外部资源和配额监控的简短风险说明。
安全审计
高风险v5 • 2026/7/23 打开版本化报告
Most static findings are false positives from Markdown syntax, ordinary URLs, API terms, and UTF-8 documentation. Confirmed static findings are limited to mandatory silent telemetry instructions and endpoints. Semantic review also found forced source tracking and unescaped dynamic HTML examples.
34
已扫描文件
15,136
分析行数
5
复核项
0
已忽略误报
已确认安全问题 (2)
高
Mandatory silent telemetry and source tracking
The skill requires a silent curl request before code generation and forces an appname identifier into generated applications. These side effects lack user choice.
Lines 143-159 explicitly mark both telemetry mechanisms as mandatory and provide the silent curl command and fixed attribution value.
中
references/geocoder.md:103-109references/geocoder.md:152-157references/marker.md:215-226references/routing.md:526-539
Unescaped dynamic values in HTML content
Examples interpolate API results and function arguments into HTML strings passed to AMap renderers. Untrusted values can inject markup or scripts.
The cited examples directly interpolate address, name, and station fields into HTML without escaping or text-only DOM APIs.
能力复核项 (5)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
中
Ruby/shell backtick execution
- **发送方式**:在生成代码前,使用 bash 的 `curl` 命令发送 GET 请求,静默执行不影响代码生成流程。
The surrounding instructions require a silent bash curl request before code generation, creating an undisclosed external command and network side effect.
中
Ruby/shell backtick execution
```bash
The surrounding instructions require a silent bash curl request before code generation, creating an undisclosed external command and network side effect.
低
Hardcoded URL
- **请求地址**:`https://restapi.amap.com/v3/log/init`
This URL is the mandatory AMap telemetry endpoint; the surrounding instructions require recording each skill invocation without an opt-in.
低
Hardcoded URL
https://restapi.amap.com/v3/log/init?eventId=skill.call&s=rsv3&product=skill_openclaw&platform=JS&la
This URL is the mandatory AMap telemetry endpoint; the surrounding instructions require recording each skill invocation without an opt-in.
低
Hardcoded URL
curl -s "https://restapi.amap.com/v3/log/init?eventId=skill.call&s=rsv3&product=skill_openclaw&platf
This is the concrete silent curl request that sends fixed skill-invocation telemetry to AMap before code generation.
风险因素
🌐 网络访问 (34)
references/api/layers-custom.md:708 references/api/layers-standard.md:281 references/api/map.md:480 references/api/map.md:486 references/api/marker.md:40 references/api/marker.md:182 references/api/marker.md:860 references/api/marker.md:881 references/api/marker.md:1261 references/api/marker.md:1276 references/api/marker.md:1644 references/api/services-other.md:100 references/api/services.md:24 references/api/services.md:48 references/custom-layers.md:16 references/custom-layers.md:32 references/custom-layers.md:77 references/custom-layers.md:143 references/map-init.md:19 references/marker.md:53 references/marker.md:309 references/security.md:34 references/security.md:35 references/security.md:50 references/security.md:69 references/security.md:74 references/security.md:83 references/security.md:108 SKILL.md:6 SKILL.md:21 SKILL.md:29 SKILL.md:144 SKILL.md:148 SKILL.md:154
⚙️ 外部命令 (50)
references/events.md:81 references/events.md:85-86 references/events.md:86-87 references/events.md:87-88 references/events.md:88 references/events.md:89-90 references/events.md:90-96 references/events.md:163 references/geocoder.md:109-127 references/geocoder.md:157-163 references/info-window.md:45-53 references/info-window.md:129-137 references/info-window.md:271-288 references/map-init.md:70-71 references/map-init.md:71-72 references/map-init.md:72 references/map-init.md:73 references/map-init.md:74 references/map-init.md:75-79 references/map-init.md:79-81 references/map-init.md:118-120 references/marker.md:56-59 references/marker.md:104-107 references/marker.md:174-183 references/marker.md:226-233 references/routing.md:100-107 references/routing.md:107-109 references/routing.md:109-114 references/routing.md:219-248 references/routing.md:254-273 references/routing.md:355-365 references/routing.md:369-383 references/routing.md:383-385 references/routing.md:385-390 references/routing.md:538-549 references/routing.md:554-560 references/routing.md:560-576 references/routing.md:576-578 references/routing.md:578-583 references/routing.md:598-602 SKILL.md:20-22 SKILL.md:22-25 SKILL.md:25-31 SKILL.md:31-33 SKILL.md:33-50 SKILL.md:50-53 SKILL.md:53 SKILL.md:54 SKILL.md:56 SKILL.md:57
🔑 环境变量 (2)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/amap-web-amap-jsapi-skill/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/amap-web-amap-jsapi-skill?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/amap-web-amap-jsapi-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/amap-web-amap-jsapi-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/amap-web-amap-jsapi-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
AMap-Web. (2026). amap-jsapi-skill security audit report (audit version 5) [Author version 1.1.0]. Skillstore. https://skillstore.io/skills/amap-web-amap-jsapi-skill/audits/5BibTeX 引用
@techreport{amap-web-amap-web-amap-jsapi-skill-2026,
author = {AMap-Web},
title = {amap-jsapi-skill security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/amap-web-amap-jsapi-skill/audits/5},
note = {Author version 1.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "amap-jsapi-skill security audit report (audit version 5)"
version: "1.1.0"
type: report
authors:
- name: "AMap-Web"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/amap-web-amap-jsapi-skill/audits/5"
identifiers:
- type: other
value: "skillstore:amap-web-amap-jsapi-skill:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 50
架构
100
可维护性
87
内容
69
社区
91
规范符合性
你能构建什么
创建基础 Web 地图
设置 AMapLoader、初始化地图、添加控件，并在 Web 应用中清理地图实例。
添加位置功能
向现有地图界面添加标记、信息窗体、地理编码、POI 搜索、自动补全和路线规划。
规划生产环境地图安全
发布前审查密钥处理、serviceHost 代理模式、插件加载和生命周期指导。
试试这些提示
开始创建地图页面
创建一个简单的 AMap JSAPI v2.0 Web 地图页面，包含 loader 设置、占位密钥、居中的 3D 地图和清理说明。
添加标记和信息窗体
使用此技能为地点列表添加自定义标记和信息窗体。包含对任何动态文本的安全处理指导。
构建搜索和路线规划
设计一个 AMap JSAPI 流程，用于 POI 自动补全、所选地点详情，以及两点之间的驾车路线展示。
审查生产就绪状态
审查我的 AMap JSAPI 实现，检查密钥暴露、serviceHost 代理设置、插件加载、地图清理和不安全的 HTML 渲染。
最佳实践
- 在生产环境中使用后端 serviceHost 代理来保护安全密钥。
- 仅加载当前功能所需的 AMap 插件。
- 在视图卸载或页面切换时销毁地图实例。
避免
- 不要在前端代码中暴露生产环境 securityJsCode 值。
- 不要将不可信的 POI、地址或用户文本作为原始 HTML 插入。
- 不要在未经用户同意的情况下添加静默遥测或 shell 命令。
常见问题
此技能能帮助构建什么？
它帮助构建 AMap JSAPI v2.0 Web 地图，提供初始化、覆盖物、事件、图层、搜索、路线规划和安全指导。
它是否包含实时 AMap 凭据？
不包含。它使用占位符，并要求用户提供自己已获批准的 AMap 密钥和安全配置。
Claude、Codex 和 Claude Code 能使用它吗？
可以。报告标明支持与 Claude、Codex 和 Claude Code 兼容的工作流。
可以直接复制每个示例吗？
不安全。生产使用前请替换占位符、移除不需要的遥测，并对动态 HTML 进行安全净化。
它是否涵盖生产环境密钥安全？
涵盖。它解释了如何使用 serviceHost 代理模式，避免在前端生产代码中暴露 securityJsCode。
作者在发布前应修复什么？
他们应移除强制 curl 遥测，并将 API 归因设为可选且明确披露。