跳转到正文
skillsafebeta
← 报告库
用途分类 / 浏览器操作

Firecrawl Lead Gen Skill 安全审计

作者说它能做什么（原文）

Generate structured lead lists from prospect databases and web directories with Firecrawl browser. Use for finding prospects by role, company type, industry, stage, location, technologies, or other criteria and exporting CRM-ready JSON or CSV.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

可批量收集并导出个人联系信息

原文依据：5 处
发现了什么

技能明确允许采集姓名、位置、电子邮件、电话、LinkedIn 和个人资料 URL，并把结果输出为可移植的 JSON、CSV 或 Markdown。即使网页上可见，这些字段组合后仍构成可识别个人的营销数据集。

为什么需要注意

名单文件可能被进一步共享、导入 CRM 或用于未经预期的外联；这可能给相关个人带来隐私、骚扰和合规风险，也可能使用户违反来源网站或所在地区对个人数据使用的规则。

该技能的实际用途是制作并导出潜客名单，字段可包含姓名、职位、地点、邮箱、电话、LinkedIn 和资料页 URL。即使数据公开或经授权可见，把这些字段批量组合成 JSON/CSV 仍会形成可移植的个人营销数据集，可能被用于画像或未经期待的联系。风险受到“仅在可见/允许时采集”和禁止绕过访问控制的限制，但并未消除。用户可要求限定字段、数量、用途和保存期限。

SKILL.md:34来自说明文档打开原文件
Capture visible or legitimately accessible fields:- name- title- company- company URL- location- email, phone, and LinkedIn only when visible/allowed- industry, company size, funding stage- notes and profile URL
查看另外 4 个位置
SKILL.md:53来自说明文档打开原文件
## Leads[Table or link to JSON/CSV]
SKILL.md:64来自说明文档打开原文件
max_leads: [number]output: [json/csv/markdown]```
SKILL.md:3来自说明文档打开原文件
name: firecrawl-lead-gendescription: Generate structured lead lists from prospect databases and web directories with Firecrawl browser. Use for finding prospects by role, company type, industry, stage, location, technologies, or other criteria and exporting CRM-ready JSON or CSV.license: ISC
SKILL.md:69来自说明文档打开原文件
- Only extract publicly visible or legitimately accessible data.- Note masked, unavailable, or paywalled fields.- Deduplicate leads.- Do not bypass CAPTCHAs or access controls.
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 1 项风险
中风险

可直接操作已登录的潜客数据库，授权确认边界不明确

原文依据：4 处
发现了什么

技能指示在目标清楚时立即执行，并将需要登录的数据库纳入浏览范围；只有在“受阻”时才可能询问来源或授权。它禁止绕过访问控制，但没有要求在使用现有登录会话前明确确认账户、允许的数据范围或网站条款。

为什么需要注意

如果代理能访问用户已登录的数据库，它可能在用户未逐项确认的情况下执行搜索、翻页和批量提取，消耗账户额度、触发风控，或超出订阅和组织授权。

指令明确把需要登录的数据库纳入浏览范围，并在目标清楚时要求立即执行；来源或授权只是在“受阻”时才建议询问。因此，代理可能使用用户已有会话而未先确认具体账户、数据范围或站点条款。禁止绕过访问控制和仅处理“合法可访问”数据是有效限制，但“合法”未定义，也没有强制的登录会话授权检查。用户可要求作者在使用任何登录态前进行明确确认并列出目标站点和范围。

SKILL.md:22来自说明文档打开原文件
Infer the prospect target, source, lead count, and output format from context. If the target is clear, proceed immediately.Ask at most 1-3 concise questions only if blocked, such as the prospect definition, source/auth requirement, or target lead count.
查看另外 3 个位置
SKILL.md:28来自说明文档打开原文件
Use Firecrawl browser for databases requiring filters, search forms, pagination, or login. Use search/scrape for public sources.
SKILL.md:72来自说明文档打开原文件
- Deduplicate leads.- Do not bypass CAPTCHAs or access controls.
SKILL.md:69来自说明文档打开原文件
- Only extract publicly visible or legitimately accessible data.- Note masked, unavailable, or paywalled fields.- Deduplicate leads.- Do not bypass CAPTCHAs or access controls.
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

5 个说明模块

该技能用于从公开来源或需要筛选、分页、登录的潜客数据库收集资料，并生成 JSON、CSV 或 Markdown 名单。

查看原文
SKILL.md:28来自说明文档打开原文件
Use Firecrawl browser for databases requiring filters, search forms, pagination, or login. Use search/scrape for public sources.
SKILL.md:53来自说明文档打开原文件
## Leads[Table or link to JSON/CSV]
SKILL.md:64来自说明文档打开原文件
max_leads: [number]output: [json/csv/markdown]```

收集范围包括姓名、职位、公司、位置以及可见或获准访问的电子邮件、电话和 LinkedIn 信息；技能要求去重，并标注被遮蔽、不可用或付费墙后的字段。

查看原文
SKILL.md:34来自说明文档打开原文件
Capture visible or legitimately accessible fields:- name- title- company- company URL- location- email, phone, and LinkedIn only when visible/allowed- industry, company size, funding stage- notes and profile URL
SKILL.md:69来自说明文档打开原文件
- Only extract publicly visible or legitimately accessible data.- Note masked, unavailable, or paywalled fields.- Deduplicate leads.- Do not bypass CAPTCHAs or access controls.

使用托管 Firecrawl 请求需要用户提供 Firecrawl API 密钥。所给文件没有脚本，因此看不到密钥的具体读取、保存或传输方式。

查看原文
SKILL.md:10来自说明文档打开原文件
  source: https://github.com/firecrawl/firecrawl-workflowsinputs:  - name: FIRECRAWL_API_KEY    description: Firecrawl API key for hosted Firecrawl requests.    required: true---
从这里开始 · 工作说明SKILL.md
firecrawl-lead-gen
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

连接外部网站
SKILL.md:8来自说明文档打开原文件
  version: "0.1.0"  homepage: https://www.firecrawl.dev  source: https://github.com/firecrawl/firecrawl-workflows
SKILL.md:9来自说明文档打开原文件
  homepage: https://www.firecrawl.dev  source: https://github.com/firecrawl/firecrawl-workflowsinputs:
SKILL.md:12来自说明文档打开原文件
  - name: FIRECRAWL_API_KEY    description: Firecrawl API key for hosted Firecrawl requests.    required: true
读取密钥或账号配置
SKILL.md:11来自说明文档打开原文件
inputs:  - name: FIRECRAWL_API_KEY    description: Firecrawl API key for hosted Firecrawl requests.
读取了多少行
73
文件校验值（用于核对版本）
42c119e1f875ec9e2724df58c696d643de7fc1b1a8512b8791fee090dd57bea9