ClawHub 要註冊或付費嗎？

我搜尋、安裝、驗證、更新、移除都沒有登入，也沒有被要求付款。官方文件寫登入是發布技能才需要，用 GitHub 帳號。要留意的是技能背後接的服務可能另外收費，我看到的熱門清單裡有三個的說明直接寫了計費方式。

ClawHub 上的技能安全嗎？

官方文件的說法是把第三方技能當成不受信任的程式碼，啟用前先讀過。ClawHub 有自動的安全稽核，安裝時會顯示結果，但文件也寫明稽核不是保證。

裝好的技能放在哪裡？

預設裝到工作區。我的測試機上是 ~/.openclaw/workspace/skills 底下，一個技能一個資料夾。加上 --global 會裝到 ~/.openclaw/skills，給這台機器上所有的代理共用。

怎麼移除從 ClawHub 裝的技能？

官方的做法是另外裝 clawhub 這個指令工具，用它的 uninstall。我實測可以，資料夾和安裝紀錄都會清掉。直接刪資料夾的話技能會消失，但安裝紀錄還留著。

ClawHub 是什麼？OpenClaw 的技能庫怎麼搜尋、安裝、移除，我實際裝了三個

想幫 OpenClaw 多加一點本事，找著找著會遇到 ClawHub 這個名字。它是什麼、上面的東西能不能裝、怎麼裝，這篇用我實際操作的結果來講。

先交代測試的條件。2026 年 10 月 13 日，一台全新的 Linux 測試機，OpenClaw 2026.10.3。我搜尋、裝了三個技能、更新、再移除，全程沒有登入任何帳號。我沒有接模型，所以裝進來的技能實際好不好用，這篇沒有答案。

技能本身是什麼，在OpenClaw Skills 是什麼。

ClawHub 是什麼

官方文件的定義：ClawHub 是 OpenClaw 技能和外掛的公開登錄庫。網址是 clawhub.ai。

我去看了網站。上面分成 Skills 和 Plugins 兩個分頁，技能那一頁有 14 個分類，每一筆列出發布者、說明、星數和下載數。我看的時候排在最前面的技能叫 self-improving agent，下載數寫 485k。

文件寫它是開放發布的，用 GitHub 帳號登入之後就能把自己寫的技能放上去。上架的東西會經過自動檢查，使用者可以檢舉，管理員可以把有問題的藏起來。

搜尋、安裝、更新，用的是 OpenClaw 本身的 openclaw skills 指令。另外有一個獨立的 clawhub 指令工具，文件說那是登入、發布和移除時用的。

搜尋

openclaw skills search calendar

大約 5 秒，回來 10 筆。每一筆一行，最前面是代號，格式是 @發布者/技能名，後面跟著名稱和說明。其中三筆長這樣：

@steipete/gog  Gog  Google Workspace CLI for Gmail, Calendar, Drive, Contacts, Sheets, and Docs.
@asleep123/caldav-calendar  Caldav Calendar  Sync and query CalDAV calendars (iCloud, Google, Fastmail, Nextcloud, etc.) using vdirsyncer + khal. Works on Linux.
@xejrax/brainz-calendar  Calendar  Manage Google Calendar events using `gcalcli`. Create, list, and delete calendar events from the CLI.

這 10 筆裡有兩筆，名稱和說明一字不差，發布者卻不一樣。只看這一行分不出誰是誰。

不給關鍵字，它列的是熱門清單。我看到的 10 筆裡，有三筆的說明直接寫了計費方式，例如每筆 0.03 美元、按次用 USDC 付款。也就是說，技能可以是某個付費服務的入口。這三個我沒有裝。

我也搜了「台灣」，回來 7 筆：一個查台灣停車場即時空位的、同一位發布者的五個房價估價分析、一個手機配件市場研究的。

指令後面加 --json，每一筆會多出下載數、星數這些欄位。例如 @steipete/gog 那一筆，我看到的下載數是 196,740、星數 953，發布者的欄位標著 official。

安裝

文件裡的範例是 openclaw skills install @openclaw/demo。我照著打，結果是找不到：

Skill "demo" not found on ClawHub. Run `openclaw skills search demo` to find the right skill reference.

那是文件的示意，不是真的技能。代號要從搜尋結果裡拿。

我裝的是上面搜到的其中一個：

openclaw skills install @asleep123/caldav-calendar

花了 13 秒。下載之前它先印出一個框，框線我拿掉了，內容是：

ClawHub Security Audit
@asleep123/caldav-calendar@1.0.1

Outcome: Safe

Overview:
This skill is a straightforward CalDAV calendar helper that uses standard Linux
calendar tools and clearly describes the expected calendar access and edits.

Details:
https://clawhub.ai/asleep123/skills/caldav-calendar/security-audit?version=1.0.1

接著是三行：從 ClawHub 下載、要裝到哪個資料夾、安裝完成。

檔案裝到哪裡

預設裝在工作區。我的測試機上多了這些：

~/.openclaw/workspace/skills/caldav-calendar/
  SKILL.md
  skill-card.md
  _meta.json
  .clawhub/origin.json

SKILL.md 是技能本體，3,478 bytes。skill-card.md 是 ClawHub 產生的一張說明卡。工作區底下另外多了一個 .clawhub/lock.json，記錄裝的是哪個版本、從哪裡來、檔案的雜湊值。

想讓這台機器上所有的代理都能用，安裝時加 --global。我用這個方式裝了第二個，它被放到 ~/.openclaw/skills/ 底下。

裝完先打開來看

官方文件在安全那一段寫得很直接：把第三方技能當成不受信任的程式碼，啟用之前先讀。

要讀的是兩個檔。SKILL.md 是它要 AI 做的事，全部寫在裡面。skill-card.md 有一段叫 Known Risks and Mitigations，我裝的這個列了三條：它會讀寫行事曆的資料、密碼可能存在本機、同步衝突的設定可能蓋掉變更。

不想先裝再看，可以用 openclaw skills verify 加上代號，只查不裝。後面加 --card 會直接印出那張說明卡。我查這一個，結果是 decision: pass，安全狀態 clean。

顯示 Ready，不代表它要的東西有裝

下面這件事文件沒有直接寫，是我測出來的。

caldav-calendar 裝完，我用 openclaw skills info 查它的狀態。說明和檔案位置那兩行我省略了：

caldav-calendar ✓ Ready

Details:
  Source: openclaw-workspace
  Visible to model: yes
  Available as command: yes

可是這個技能整份說明都在教 AI 用 vdirsyncer 和 khal 這兩個程式，我的測試機上兩個都沒有。內建的技能遇到這種情況，會被標成 needs setup，並且寫出缺哪個程式。

我打開它的 SKILL.md。它有寫需要這兩個程式，但是寫在一個叫 clawdbot 的欄位底下。OpenClaw 的文件說，判斷技能能不能用，看的是 openclaw 這個欄位；沒有這個欄位的技能，一律當成可用。

為了確認，我把檔案裡的 clawdbot 改成 openclaw，其他一個字都沒動，再查一次。一樣省略那兩行：

📅 caldav-calendar △ Needs setup

Details:
  Source: openclaw-workspace
  Visible to model: no
  Available as command: no

Requirements:
  Binaries: ✗ vdirsyncer, ✗ khal

原因就是這個欄位名稱。ClawHub 的文件把 clawdbot 列為 openclaw 的別名，登錄庫那邊認得；我測的這一版 OpenClaw 在判斷可不可用的時候沒有認。這個技能的發布時間是 2026 年 1 月。

照這個結果，AI 會看到這個技能、把它當成可以用。接下來它叫一個不存在的程式會發生什麼事，我沒有接模型，沒有看到。

所以裝完不要只看 Ready。打開 SKILL.md，看它要用到哪些程式和金鑰，自己確認機器上有沒有。

名字可能跟你裝的不一樣

我用 --global 裝的第二個是 @xejrax/brainz-calendar。裝完到清單裡找 brainz-calendar，找不到。

它在清單裡叫 calendar。技能顯示的名字看的是 SKILL.md 裡的 name，不是安裝時打的代號。資料夾的名稱倒是 brainz-calendar。

這一個有照新的欄位名稱寫需求，所以清單把它標成缺少 gcalcli 這個程式，是對的。

裝了兩個 name 一樣的技能會怎樣，我沒有測。

skills-sh 開頭的代號

搜尋結果裡有些代號不是 @ 開頭，而是 skills-sh:。文件說這類是從外部清單同步過來的，ClawHub 沒有掃描過。

我裝了一個試。第一行印的是 Not scanned by ClawHub，沒有前面那個稽核的框，檔案是直接從 GitHub 抓某一個固定的版本。

更新

openclaw skills update --all

14 秒。它把工作區裡從 ClawHub 裝的技能檢查一遍，稽核的框再印一次，最後告訴我 caldav-calendar already at 1.0.1，已經是最新的。

用 --global 裝的那些，文件寫要另外加 --global 才會檢查，這個我沒有另外跑。文件也寫，從 Git 或本機資料夾裝的技能不在更新的範圍內，要重新安裝。

移除

OpenClaw 自己的 skills 指令裡沒有移除這一項。文件的做法是另外裝 clawhub 這個指令工具：

npm i -g clawhub
clawhub --workdir ~/.openclaw/workspace uninstall @asleep123/caldav-calendar

第一行我在測試機上是前面加了 sudo 跑的，花了 6 秒，裝到的版本是 0.23.3。

--workdir 要指到當初安裝的位置。裝在工作區的就指工作區，用 --global 裝的指 ~/.openclaw。

它會先問你確不確定。我是用腳本跑的，沒辦法回答，它停下來提示要加 --yes。加了之後它回 Uninstalled caldav-calendar，資料夾不見了，lock 檔裡那一筆紀錄也清掉了。

我也試了直接把資料夾刪掉。OpenClaw 的技能清單裡它確實消失了，但 clawhub list 還是列著它，lock 檔裡那一筆也還在。要清乾淨，用指令移除。

稽核的結果怎麼看

ClawHub 的文件把稽核狀態分成幾種。Pass 是沒發現低風險以上的問題。Review 是安裝前先讀它列出的發現。Warn 是有影響比較大的疑慮。Malicious 是不要裝。另外還有沒掃完的 Pending 和沒掃成功的 Error。

我安裝時畫面上的字是 Outcome: Safe，跟文件的用詞不完全一樣。

另外有一個風險等級，分 Low、Medium、High。文件的解釋是，它講的是這個技能拿到的權力有多大，跟它有沒有問題是兩回事。

文件自己也寫了：稽核是很強的參考訊號，但不保證沒有風險。

這篇沒有測的

裝進來的技能在對話裡的實際表現。我沒有接模型。

ClawHub 上的外掛。文件給的指令是 openclaw plugins install clawhub: 後面接套件名稱。

登入 ClawHub、發布自己的技能。

網站上的搜尋和各個技能的頁面。我只讀了首頁和技能列表。

還沒裝 OpenClaw 的話，從安裝怎麼選開始。