WhatsApp 命令行消息管理专家

report_id: CLS-20260505-8A7F3E
report_date: "2026-05-05T07:15:30Z"
scanner_version: CLS-Certify v2.1.0
scan_mode: Full Scan (T-MD Tier)
skill_name: wacli
skill_version: 1.0.0
skill_path: /tmp/bss_skill_x6047lif
maintainer: rafay0313 / clawdbot
license: Unknown
scan_duration: 3.2s
code_stats: 53 lines · 2 files
trust_level: T2
trust_level_text: T2 - 可信组织/GitHub 组织账号
grade: A
score: 82
evaluation: 标准安全级别。该 Skill 为纯文档型封装，仅提供 wacli 工具的使用说明，无嵌入式可执行代码。需确认外部依赖 wacli 工具的可信度。
stamp_color: green
total_风险发现: 3
sample_hash: sha256:868ebd242f300ef747e6a4b001f889229a86b4aa8f7db37d8fa2ff3f33a3a93a
disclaimer: 认证结果不代表对 Skill 功能正确性的保证，仅反映安全风险评估。用户应自行判断 Skill 功能是否满足需求。
radar:

• name: 静态代码分析
  short: STATIC
  score: 95
  status: pass
  detail: 无可执行代码，仅文档说明
• name: 动态行为分析
  short: DYNAMIC
  score: 90
  status: pass
  detail: 无运行时行为，依赖外部 CLI 工具
• name: 依赖审计
  short: DEPS
  score: 70
  status: warn
  detail: 依赖外部二进制 wacli，未包含在本体中
• name: 网络分析
  short: NETWORK
  score: 75
  status: warn
  detail: 通过外部工具间接访问 WhatsApp 网络
• name: 隐私合规
  short: PRIVACY
  score: 85
  status: pass
  detail: 有明确的用户确认机制，符合安全最佳实践
• name: 威胁情报
  short: THREAT
  score: 88
  status: pass
  detail: 来源可信，clawdbot 为 GitHub 上的 Skill 集合组织

compliance:

• text: GDPR 数据最小化原则
  status: pass
• text: 用户同意机制
  status: pass
• text: 数据使用透明度
  status: pass
• text: 第三方依赖安全
  status: warn
• text: 权限申请合理性
  status: pass
• text: 功能-行为一致性
  status: pass

风险模式

• info: T2-可信组织来源
• info: 纯文档型 Skill
• warn: 外部二进制依赖
• info: 有用户确认机制

分析摘要

1. 该 Skill 为纯 Markdown 文档型封装，不包含任何可执行代码，仅提供 wacli CLI 工具的使用说明和参数文档。
2. Skill 声明的功能（WhatsApp 消息发送/同步）与实际文档内容完全一致，无隐藏功能或行为偏离。
3. 安全机制完善：文档明确要求"Require explicit recipient + message text"和"Confirm recipient + message before sending"，符合安全最佳实践。
4. 外部依赖分析：依赖的 wacli 工具需通过 Homebrew 或 Go 安装，来源为 github.com/steipete/wacli，作者 Peter Steinberger (steipete) 为知名 iOS 开发者，具有较高可信度。
5. 隐私数据处理：Skill 会访问 WhatsApp 聊天记录，但有明确的授权流程（QR 登录）和用户确认机制，数据存储在本地 ~/.wacli 目录。

外部接口

风险发现

RISK-001

• severity: low
• category: external_dependency
• title: 外部二进制依赖
• location: SKILL.md:5, SKILL.md:20-35
• description: Skill 依赖外部 wacli 二进制工具，该工具不包含在 Skill 代码中，需要用户通过 Homebrew (steipete/tap/wacli) 或 Go (go install) 单独安装。虽然安装源看起来可信，但仍存在供应链风险。
• recommendation: 建议用户安装后验证 wacli 二进制签名，并关注 wacli 项目的安全公告。
• verified: true

RISK-002

• severity: info
• category: data_access
• title: WhatsApp 数据访问
• location: SKILL.md:25-30
• description: Skill 通过 wacli 工具访问 WhatsApp 聊天记录、联系人列表和消息历史。数据存储在用户本地 ~/.wacli 目录，但 Skill 文档未明确说明数据保留期限和删除机制。
• recommendation: 建议用户定期清理 ~/.wacli 目录中的历史数据，或在不需要时执行数据删除。
• verified: true

RISK-003

• severity: info
• category: trust_verification
• title: 来源可信度说明
• location: _meta.json:8
• description: Skill 来源为 GitHub clawdbot/skills 组织，属于 T2 级别（可信组织/GitHub 组织账号）。wacli 工具作者 Peter Steinberger (@steipete) 是知名 iOS 开发者，PSPDFKit 创始人，具有良好的开源声誉。
• recommendation: 持续监控上游 wacli 项目的安全更新。
• verified: true

改进建议

1. 外部依赖验证

在安装 wacli 工具后，建议验证其二进制文件的完整性：

• 通过 Homebrew 安装时：brew verify wacli（如支持）
• 检查 wacli 版本和来源：wacli --version 和 which wacli

2. 数据隐私管理

定期审查和清理本地存储的 WhatsApp 数据：

• 查看存储目录：ls -la ~/.wacli
• 如需删除历史数据：rm -rf ~/.wacli（注意：这将删除所有同步的聊天记录）

3. 使用安全建议

• 确保仅在信任的网络环境下使用 wacli 同步功能
• 不要分享 ~/.wacli 目录中的认证文件
• 使用 wacli doctor 定期检查配置安全

4. 上游监控

关注 wacli 项目的安全更新：

• 订阅 github.com/steipete/wacli 的安全通告
• 定期更新 wacli 到最新版本：brew upgrade wacli 或 go install -u