openclaw-stock-skill

SUSPICIOUS. 技能的核心用途与股票数据查询基本一致，所需唯一凭据 STOCK_API_KEY 也与用途相符，主要数据流直达声明的 diemeng.chat 接口，未见明显越权读取 SSH/AWS 等无关敏感信息。但安装指令要求通过 skills CLI 从个人 GitHub URL 安装第三方技能，属于明确的传递信任风险；再加上文档鼓励直接读取配置/环境中的原始 API Key，并通过 WebSocket query 传 token，整体更像可工作但高信任要求的未验证第三方技能，而非低风险官方集成。