china-stock-data

该技能目的与大多数能力基本一致，主功能是A股数据聚合，安装路径也主要是正常的官方/公开 Python 生态，因此不像伪装型恶意技能。但文档中直接泄露真实样式的 JQData 账号密码和身份资料，是严重凭证暴露；同时问财通过 SkillHub/作者中介获取 Key，存在第三方转发与数据流不透明问题。总体判定为 SUSPICIOUS：不是确认恶意，但存在高安全风险，尤其是凭证处理。

No indicators of intentional malware exist in this fragment (it is a guide/documentation with usage snippets). However, it contains high-severity plaintext credential exposure: a real Tushare token and a real JoinQuant/JQData phone/password are embedded directly in the text, and it also demonstrates a risky pattern of placing tokens in URL query parameters for MCP configuration. Treat this as a credential-leak incident: revoke/rotate exposed secrets, remove them from any repository history and logs, and ensure future guidance uses environment variables/secret managers rather than hardcoded values or token-in-URL patterns.

未发现片段内的直接恶意载荷迹象（如后门/代码执行/持久化/显式窃取与外传），但存在显著的安全与供应链信任风险：它建议并实现了对第三方 SDK 私有端点的重写，将 API 交互导向非标准域名并使用明文 HTTP，同时还包含“限流规避”的自动化绕过策略。若调用方 token 为真实凭据，该路径可能导致认证信息与返回数据在不受信任端点被篡改或暴露。建议移除端点重写、改用官方/可验证的 HTTPS 端点，并对网络请求进行抓包与域名/证书校验审计。