大米采购管理系统 v2.0。记录每个客户的分批进货、消耗追踪、欠款追踪与对账管理。 支持分批进货、欠款追踪、对公/对私转账、月底对账提醒。 适用于：大米卖家追踪客户库存与应收款、团购组织者管理库存、家庭食材管理。 Keywords: 大米, 库存管理, 采购提醒, 欠款追踪, 对账管理, 分批进货
Security Analysis
medium confidence代码与文档大体匹配为一个本地运行的库存/欠款管理 Web 应用，但存在多处不一致（多个 app 版本与不同数据字段）、未声明的系统依赖、以及将服务绑定到 0.0.0.0（对局域网可见），建议在可信/隔离环境中审计并调整后再运行。
功能声明与包含的代码基本一致：本地 Flask Web 界面 + 每日提醒脚本，数据保存在用户家目录下的 ~/.openclaw/workspace/rice-shop-records.json。异常：包内包含两个不同版本的应用（scripts/app.py 标注 v2.0，scripts/app_v3.py 标注 v3）且两者使用不同的数据字段（例如 v3 迁移函数生成 purchase_history，而其他脚本（app.py, check_alerts.py）期望 purchases 字段）。这会导致数据不一致或提醒/统计失效，但并不表明恶意。
SKILL.md 指示运行本地 Flask 服务与 check_alerts.py，内容与代码一致. 风险点：服务在代码中默认绑定 HOST = "0.0.0.0"（app.py 与 app_v3.py），并在文档里鼓励用手机通过局域网 IP 访问 —— 这 exposes 存储的客户姓名/手机号/欠款等敏感数据到局域网。start/stop 脚本会调用 lsof/ifconfig/curl/gunicorn 等系统命令（SKILL.md 与元数据未声明这些依赖）。Cron 示例让用户每天运行检查并“整理成消息发送给我”，但脚本本身仅在本地打印，未看到自动外发网络调用。
包里包含源码和启动脚本，且没有远程下载或不明 URL 的安装步骤（没有 install spec）。因此没有外部代码下载风险。
技能声明不需要任何环境变量或主凭证 —— 这与实际代码匹配（代码仅读写本地 JSON 文件）。不过脚本隐含依赖若干系统工具（gunicorn, lsof, curl, ifconfig）与 Python3 环境，且这些依赖未在元数据中声明，表明清单不完整。应用会在用户家目录写入/读取敏感客户数据（姓名、手机号、欠款），这需要用户自行评估隐私影响。
技能没有设置 always:true，也不修改其它技能或系统范围配置。它会在 ~/.openclaw/workspace 路径下读写自己的数据文件并写日志/pid 文件，属于预期的本地服务行为。但注意默认绑定到 0.0.0.0 会增加在局域网暴露的持久性风险。
Guidance
主要注意点与建议： - 不要直接在生产或联网主机上运行：先在隔离环境或容器（例如本地 VM 或 Docker）里测试。代码在包内可审计，但存在版本/字段不一致（purchase_history vs purchases），运行前确认统一的数据格式或修复迁移逻辑。 - 限制网络暴露：默认 HOST="0.0.0.0" 会使服务对局域网可见。若仅在本机使用，将 HOST 改为 127.0.0.1 或通过防火墙仅允许 localhost 访问。 - 检查/调整隐含依赖：start.sh/stop.sh 使用 lsof, ifconfig, curl, gunicorn 等，确保这些工具来源可信并按需安装；若不希望自动杀端口或使用 gunicorn，可手动用 python3 app.py 启动并观察行为。 - 备份与隐私：数据文件位于 ~/.openclaw/workspace/rice-shop-records.json，包含客户姓名与手机号等敏感信息。备份或迁移前加密/脱敏，限制文件权限（chmod 600）。 - 审计自动化/提醒流程：SKILL.md 建议加入 openclaw cron 调度并“整理成消息发送给我”——但代码并未实现网络发送。若需要将提醒推送到外部服务，明确检查推送实现与目标端点，避免将敏感数据意外发送到不受信任的服务。 - 最后，因存在代码重复和数据结构不一致（v2/v3），在长期使用前先修复/统一代码并做一次完整测试（特别是提醒逻辑与欠款识别）。
Latest Release
v1.0.3
v2.0.0 introduces major new features and enhancements for rice inventory and accounts management: - 支持分批进货，自动汇总客户大米库存 - 增加欠款追踪/对账管理，可记录每笔进货的金额、付款状态、结账日期 - 可区分对私（微信/支付宝）和对公（公户转账）账户类型 - 新增月底结账、月度对账和到期自动提醒收款 - Web 界面升级，增加库存、进货、对账三大视图 - 提供双重自动提醒：库存耗尽与对账到期
More by @swiftuis
Published by @swiftuis on ClawHub
