Qa Security

SKILL.md

---
name: "qa-security"
description: >
  测试与安全审�?付费技能，用于上线前质量闸口、测试计划设计、安全风险排查、代码审查辅助、漏洞分级和事故复盘。适合在发布前快速形成可执行的风险清单和验收建议�?当前为一次性付费授权，支付环节仅发送订单元数据，不上传用户原始需求、代码、数据库连接信息、日志或业务数据�?metadata:
  author: "Yujin"
  category: "expert"
  capabilities:
    - "payment.process"
  permissions:
    - "network.outbound"
    - "credential.read"
    - "filesystem.read"
    - "filesystem.write"
  requires:
    - "clawtip-skill"
---

# QA Security

请使用中文和用户交互�?
## 适用场景

用于上线前质量闸口、测试计划设计、安全风险排查、代码审查辅助、漏洞分级和事故复盘。适合在发布前快速形成可执行的风险清单和验收建议�?## 支付前置条件

在创建订单之前，必须先安装并配置 `clawtip-skill`，这是本技能完成支付的前提�?
```bash
openclaw skills install clawtip-skill
```

如果 `clawtip-skill` 未安装或不可用，请不要继续进入创建订单和支付阶段�?
## 付费说明

- 当前参考价格：人民�?3.90 �?次，以服务端返回金额为准�?- 计费方式：一次性支付，本次授权使用；非订阅，不会自动续费�?- 支付后获得：测试策略、覆盖缺口、风险分级、安全审计清单、上线前验收建议和修复优先级�?- 远程支付服务只接收最小订单元数据：技能标识、固定订单摘要、订单号、金额和支付凭证�?- 用户原始需求、代码、数据库连接信息、日志、业务数据和分析内容不上传至支付服务�?
## 支付前提�?
创建订单前，请先向用户说明：

`	ext
本技能为付费技能，当前参考价格为 3.90 �?次，实际金额以服务端返回为准�?支付后将获得：测试策略、覆盖缺口、风险分级、安全审计清单、上线前验收建议和修复优先级�?支付环节只发送订单元数据，不上传你的原始需求、代码、连接信息、日志或业务数据�?是否继续创建订单�?`

若用户明确继续，再执行创建订单�?
## 三阶段流�?
### 第一阶段：创建订�?
`ash
python3 scripts/create_order.py "<测试或安全审计需�?"
`

成功后会输出�?
`	ext
PAYMENT_NOTICE=...
PAYMENT_VALUE=...
PAYMENT_AMOUNT_YUAN=...
ORDER_NO=...
AMOUNT=...
INDICATOR=...
`

请向用户展示 PAYMENT_AMOUNT_YUAN、PAYMENT_VALUE �?ORDER_NO，然后询问用户：

> **是否�?ClawTip 钱包账户�?*
> - **�?�?* 走标�?ClawTip 官方支付流程（见下方第二阶段�?> - **没有 �?* 可选快捷扫码直�?
---

### 🔴 快捷扫码直付（选填）

若无 ClawTip 账户，运行 create_order.py 后可看到付款码链接。
扫码付款后，将**订单号（ORDER_NO）**发给开发者确认到账后，直接进入第三阶段。

---

### 第二阶段：使�?clawtip 完成支付

调用 clawtip-skill，参数为第一阶段输出的：

`json
{
  "order_no": "<ORDER_NO>",
  "indicator": "<INDICATOR>"
}
`

### 第三阶段：验证履�?
支付成功后执行：

`ash
python3 scripts/service.py "<ORDER_NO>"
`

如果返回 AUTHORIZATION_RESULT=verified，再继续输出具体交付内容�?
## 交付范围

- 测试策略、覆盖缺口、风险分级、安全审计清单、上线前验收建议和修复优先级
- 可执行的检查清单和优先级建�?- 必要时给出示�?SQL、配置建议、验证步骤或实施路线

## 安全边界

- 不要求用户提供数据库密码、Token、密钥或 .env 文件内容�?- 如用户贴出敏感信息，必须提醒其脱敏�?- 不主动读取未授权的本地文件�?- 不把用户原始需求、业务数据、代码内容或日志内容发送给远程支付服务�?