2026-10-29 插件调研（第二轮·深挖）
<!-- obsidian-links --> <a href="/ME71kYBYo-jfUcHp/vault/MEMORY.md">长期记忆</a> · <a href="/ME71kYBYo-jfUcHp/vault/memory/learned/index.md">自学目录</a>
学到什么
关键发现：包名里带 openclaw 的远多于第一次搜出来的二十来个。换关键词 openclaw plugin / openclaw channel / openclaw memory 各扫一遍，能捞到三类新东西——官方基础插件（@openclaw/duckduckgo-plugin、@openclaw/searxng-plugin、@openclaw/parallel-plugin、@openclaw/deepseek-provider、@openclaw/memory-lancedb、@openclaw/qqbot、@openclaw/discord）、国内厂商自家维护的渠道插件（腾讯 @wecom/wecom-openclaw-plugin 和 @tencent-weixin/openclaw-weixin、钉钉 @dingtalk-real-ai/dingtalk-connector、微博 @wecode-ai/weibo-openclaw-plugin、元宝 openclaw-plugin-yuanbao），以及一大堆记忆类插件（mem0 / MemOS / Remnic / Signet / TencentDB / hybrid-memory……光搜 memory 就二十多个）。
判断"是不是官方"最硬的一条：看 maintainers。官方包全是 steipete + vincentkoc 两个人，版本号跟着本体走（现在 2026.10.8），time.modified 集中在同一天批量发布。不符这三条的，无论名字多像都不算官方。
验证插件能不能用，先验网络出口。 我在无外网假设下实测了：html.duckduckgo.com、lite.duckduckgo.com、api.duckduckgo.com 全部超时返回 000；searx.be、searxng.world、search.bus-hit.me 三个公共实例也全挂；只有 cn.bing.com 通（200，0.26s），metaso.cn 通（200）。也就是说：DuckDuckGo 插件和 SearXNG 插件在这台机器上装了也白装，官方搜索类插件里唯一有希望的是 Brave/Tavily（走境外 API，大概率也不通），Parallel 同理。这个"先 curl 一下再谈安装"的顺序，比读任何 README 都管用。
能怎么用
调研流程已固化成技能 skills/plugin-audit/SKILL.md（第二轮已补：多关键词扇出、maintainers 三条件、装前先 curl 出口验证）。以后给一串包名，跑这一套就能出结论。对爸爸实际有用的结论只有一个方向：搜索能力想补，境外源全堵，走国内可控的 Metaso / Bing 网页抓取更现实，而不是装插件。记忆类插件建议全部不动——本机 MEMORY.md + 语义检索已经够用，换后端属于高风险低收益。
风险
- 官方 ≠ 安全买路钱：官方包也可能不适用本机（DuckDuckGo 就是活例子），装之前要验环境。
- 同功能重复包很多：飞书有
@openclaw/feishu和@larksuite/openclaw-lark两个，QQ 有@openclaw/qqbot和@tencent-connect/openclaw-qqbot两个，装两个会抢同一渠道，只该留一个。 - 记忆插件是重灾区：二十多个包，一半是个人或小厂维护，
@remnic/*甚至出现 9.69.56 这种诡异版本号（疑似刷版本），@joshuaswarren/openclaw-engram已被标 deprecated 做了 shim。这类东西拿到的权限等于整个 MEMORY.md 读写权。 - 供应链：
@openclaw/memory-lancedb和@openclaw/searxng-plugin的npm view license返回空，官方包没挂 license 字段本身不算错，但在企业环境里会被拦。
2026-10-29（第三轮）技能整理
学到什么
今天盘点了一下手头的技能，发现已经出现了重复：skills/plugin-audit/SKILL.md（我第二轮写的，54 行中文）和 workshop-skills/plugin-trust-audit/SKILL.md（后台自动生成的，73 行英文）讲的是同一件事——多关键词扇出、验 maintainers、curl 验出口、分级给建议。两份并存，下次接到插件调研任务会读到哪一份全凭运气，还可能是过时的那份。
同时看明白了两类技能的差别：workspace/skills/ 是手写文件，想改直接改；agents/*/agent/workshop-skills/ 是 skill_workshop 生成的，手改会被下次生成覆盖，只能走工具。这个区分以前没有写进任何地方。
另外从 webchat-message-splitting 学到一种好写法：它不写"怎么拆句子"，而是写"先确认渠道支持不支持，不支持就明说做不到"——把"做不到时的退路"写进技能，比只写成功路径有用得多，能防住硬着头皮编造。
能怎么用
新落的技能：skills/learned-skill-merge/SKILL.md——把"盘点 → 判重 → 骨架 → 验触发"这套流程固定下来，下次整理技能不用现想结构。核心判据只有一句：新的做法如果已有技能的 description 里能对上，就是改旧的，不是新建。今天这份重复，按这条规则本可以避免。
风险
- 重复技能不会报错，只会悄悄让行为不稳定——同一个任务两次结果不同，很难查。
- workshop 技能手改会被静默覆盖，改之前必须分清是哪一类。
- 技能里写死现场数据（具体 IP、当天日期）会随环境变化失效，技能会变成误导。
- 已有发现但未处理：
plugin-audit（中文，54 行）与plugin-trust-audit（英文，73 行）重复，需要合并成一份并删掉另一份——涉及删除文件，留待爸爸确认。