fix: sanitize placeholder tool params

Author: Yuuki-Sakura

package-lock.json

@@ -1,7 +1,7 @@
 {
   "name": "aitoearn-openclaw-workspace",
   "private": true,
-  "version": "1.0.19",
+  "version": "1.0.20",
   "type": "module",
   "workspaces": [
     "packages/shared",

package.json

@@ -1,6 +1,6 @@
 {
   "name": "@aitoearn/openclaw-plugin-cli",
-  "version": "1.0.19",
+  "version": "1.0.20",
   "type": "module",
   "main": "./dist/installer/src/index.js",
   "types": "./dist/installer/src/index.d.ts",

packages/installer/package.json

@@ -39,11 +39,15 @@ interface RegisteredTool {
   execute: (...args: unknown[]) => Promise<unknown>;
 }
 
-function createTool(name: string, description = `Tool ${name}`) {
+function createTool(
+  name: string,
+  description = `Tool ${name}`,
+  inputSchema: Record<string, unknown> = { type: "object", properties: {} }
+) {
   return {
     name,
     description,
-    inputSchema: { type: "object", properties: {} },
+    inputSchema,
   };
 }
 
@@ -282,6 +286,113 @@ describe("AiToEarn OpenClaw Plugin", () => {
     });
   });
 
+  it("should sanitize non-required placeholder values before calling MCP", async () => {
+    toolDiscoveryMock.loadToolDefinitionsSync.mockReturnValue({
+      source: "remote",
+      tools: [
+        createTool("test_tool", "Tool test_tool", {
+          type: "object",
+          required: ["workLink"],
+          properties: {
+            workLink: { type: "string" },
+            imgUrlList: {
+              type: "array",
+              items: { type: "string" },
+            },
+            shippingAddress: {
+              type: "object",
+              properties: {
+                address1: { type: "string" },
+                city: { type: "string" },
+              },
+            },
+            zero: { type: "number" },
+            flag: { type: "boolean" },
+          },
+        }),
+      ],
+      logs: [],
+    });
+
+    await pluginEntry.register(mockApi as any);
+
+    await getRegisteredTool("test_tool").execute("test-call-id", {
+      workLink: "https://real.example.com/work",
+      imgUrlList: [
+        "https://placeholder.invalid/remove-me",
+        "https://cdn.example.com/image.jpg",
+      ],
+      shippingAddress: {
+        address1: " ",
+        city: " ",
+      },
+      zero: 0,
+      flag: false,
+      note: "placeholder",
+    });
+
+    expect(sharedMcpClientMock.callMcpTool).toHaveBeenCalledWith(
+      "test-api-key",
+      "https://test.aitoearn.ai/api",
+      "test_tool",
+      {
+        workLink: "https://real.example.com/work",
+        imgUrlList: ["https://cdn.example.com/image.jpg"],
+        zero: 0,
+        flag: false,
+      }
+    );
+  });
+
+  it("should preserve placeholder values for required fields", async () => {
+    toolDiscoveryMock.loadToolDefinitionsSync.mockReturnValue({
+      source: "remote",
+      tools: [
+        createTool("test_tool", "Tool test_tool", {
+          type: "object",
+          required: ["imgUrlList", "payload"],
+          properties: {
+            imgUrlList: {
+              type: "array",
+              items: { type: "string" },
+            },
+            payload: {
+              type: "object",
+              required: ["workLink"],
+              properties: {
+                workLink: { type: "string" },
+                caption: { type: "string" },
+              },
+            },
+          },
+        }),
+      ],
+      logs: [],
+    });
+
+    await pluginEntry.register(mockApi as any);
+
+    await getRegisteredTool("test_tool").execute("test-call-id", {
+      imgUrlList: ["https://placeholder.invalid/remove-me"],
+      payload: {
+        workLink: "https://placeholder.invalid/remove-me",
+        caption: " ",
+      },
+    });
+
+    expect(sharedMcpClientMock.callMcpTool).toHaveBeenCalledWith(
+      "test-api-key",
+      "https://test.aitoearn.ai/api",
+      "test_tool",
+      {
+        imgUrlList: ["https://placeholder.invalid/remove-me"],
+        payload: {
+          workLink: "https://placeholder.invalid/remove-me",
+        },
+      }
+    );
+  });
+
   it("should keep only China publish tools for China environment", async () => {
     setDiscoveredTools([
       "test_tool",

packages/runtime/index.test.ts

@@ -21,6 +21,7 @@ import {
   applySyncToolDiscoveryLogs,
   loadToolDefinitionsSync,
 } from "./src/tool-discovery.js";
+import { sanitizeToolParams } from "./src/tool-params.js";
 import type { ToolDefinition } from "./src/tools.js";
 
 const MONEY_RELATED_TOOL_NAMES = new Set([
@@ -175,7 +176,10 @@ export default definePluginEntry({
             config.apiKey,
             config.baseUrl,
             tool.name,
-            params as Record<string, unknown>
+            sanitizeToolParams(
+              isRecord(params) ? params : {},
+              tool.inputSchema
+            )
           )) as CallToolResult;
           return {
             content: result.content.map((c) =>
@@ -267,6 +271,10 @@ function shouldRegisterTool(
   return policyPlatformSet.has(publishPlatform);
 }
 
+function isRecord(value: unknown): value is Record<string, unknown> {
+  return typeof value === "object" && value !== null && !Array.isArray(value);
+}
+
 function describeTool(
   tool: ToolDefinition,
   environment: ReturnType<typeof resolveAiToEarnEnvironment>,

packages/runtime/index.ts

@@ -2,7 +2,7 @@
   "id": "aitoearn",
   "name": "AiToEarn",
   "description": "AiToEarn social media management tools",
-  "version": "1.0.19",
+  "version": "1.0.20",
   "skills": [
     "./skills"
   ],

packages/runtime/openclaw.plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "@aitoearn/openclaw-plugin",
-  "version": "1.0.19",
+  "version": "1.0.20",
   "type": "module",
   "main": "./dist/runtime/index.js",
   "types": "./dist/runtime/index.d.ts",

packages/runtime/package.json

@@ -113,6 +113,10 @@ description: Use this skill when the user wants a lobster that actively looks fo
 - `accountId`、`opportunityId`、`materialId`、`shippingAddress`、`depositAmount`、`sampleMode` 等都属于条件性字段；只有任务详情明确要求，或实际调用报错明确指出缺少这些字段时才补
 - 所有参数都遵守同一条规则：没有真实值就不要传。空字符串、只含空格的字符串、空数组、以及像 `shippingAddress` 这样展开后全为空白值的空对象，都直接省略整个字段
 - 示例：不要传 `materialId: " "`、`opportunityId: " "`，也不要传内容全为空白的 `shippingAddress`
+- 所有发布参数都先按真实内容类型收敛：视频内容只传视频字段，图片内容只传图片字段；不要为了“凑 schema”同时传互斥的图片和视频字段
+- 所有媒体 URL 和 URL 数组字段都先做真实值过滤，再决定是否传参；空字符串、空白字符串、明显占位值、`.invalid` 域名 URL、以及 `https://placeholder.invalid/remove-me` 这类占位链接，都视为不存在
+- `imgUrlList` 必须特别严格处理：过滤后如果没有真实图片 URL，就整个字段都不要传；`imgUrlList: [\"https://placeholder.invalid/remove-me\"]` 视为“空字段”，不是“有一张图”
+- 不允许为了通过发布校验伪造媒体值：不要补默认图、不要补占位图、不要补占位 URL，也不要把占位 `imgUrlList` 和真实视频字段混传
 - 不要因为 schema 里存在某个字段，就提前告诉用户“现在卡在这个字段”
 - 绝不伪造这些字段：
   - `taskId`
@@ -135,6 +139,8 @@ description: Use this skill when the user wants a lobster that actively looks fo
 - 缺默认必填主键：停下来收集，不要用别的字段硬凑
 - 可选字段条件不明：先按 `taskId` 主线推进，不要把 `opportunityId` 或 `materialId` 提前说成阻断项
 - 组织 tool 参数时，没有真实值的字段直接删掉；不要把“占位空值”传给 agent
+- 发布字段在清洗占位值后如果为空，直接停止并明确说“当前缺少真实媒体 URL / 当前参数仍是占位值”，不要继续重试占位值方案
+- 视频发布如果只拿到真实视频素材，就不要再传 `imgUrlList`；图片发布如果 `imgUrlList` 过滤后为空，也不要伪造图片参数
 - 缺平台账号：停在准备阶段，不要伪造发布能力
 - 平台在策略里但没有注册对应工具：说明“当前未提供该 publish tool”，不要说成“平台不支持”
 - 平台不在当前环境支持矩阵里：不要尝试走 `publishPostTo*`

packages/runtime/skills/aitoearn-earn/SKILL.md

@@ -55,6 +55,8 @@
 - 当前 `acceptTask` 的默认理解是：公开市场接单主键为 `taskId`，其余字段按任务条件补齐
 - 不要因为 schema 里存在 `opportunityId` 或 `materialId`，就提前把它们当成默认阻断项
 - 所有条件性参数都按“没有真实值就不传”处理；不要传空字符串、空白占位值、空数组或全空对象
+- 所有发布工具都遵守同一条媒体规则：按真实内容类型互斥传参，不为满足 schema 混传图片和视频字段
+- 所有媒体 URL 字段都必须剔除占位值；`.invalid` 域名 URL 和 `https://placeholder.invalid/remove-me` 一律视为不存在，`imgUrlList` 没有真实图就整个不传
 - 除积分外，其余金额、收益、钱包、佣金、结算相关字段都按分为单位理解（即最小货币单位，如 cents / fen），并结合返回里的 `currency` 解释；不要擅自把它们当成主货币单位
 - 口头总结时必须先换算：例如 `reward: 100` + `currency: USD` 应解释为 `1 USD`
 - 具体执行时以当前已注册 tool 的 `description`、`inputSchema` 和环境结果为准

packages/runtime/skills/aitoearn-earn/references/current-mcp-capability.md

@@ -73,10 +73,27 @@ Global 策略仅支持这些平台的 MCP 发布：
 - 先确认目标平台账号
 - 先调 `getAiToEarnEnvironment`
 - 先确认内容类型和素材
+- 先把媒体参数按内容类型收敛：视频只保留视频字段，图片只保留图片字段；不要为了满足 schema 混传互斥媒体字段
+- 先清洗所有媒体 URL 和 URL 数组字段，只保留真实值；空字符串、空白值、明显占位值、`.invalid` 域名 URL、以及 `https://placeholder.invalid/remove-me` 都直接删掉
+- `imgUrlList` 只要过滤后没有真实图片 URL，就整个字段都不要传；它不能用来塞占位图，也不能在视频发布里拿占位值凑必填
 - 必要时先查 `publishRestrictions`
 - 对 Bilibili 和 YouTube 这类需要分类的场景，先查分类工具
 - 任何“为了完成任务而发布”的场景，都要把 `userTaskId` 透传到 `publishPostTo*`
 
+## 媒体参数规则
+
+- 视频草稿、视频素材、或任务上下文明确是视频内容时：
+  - 只传真实视频字段
+  - 不传图片数组字段，除非 tool description 明确说该字段是视频封面且允许和视频并存
+  - 如果 `imgUrlList` 里只有占位值，例如 `https://placeholder.invalid/remove-me`，视为“没有图片”，不是“有封面”
+- 图片或图文内容时：
+  - 只传真实图片字段
+  - `imgUrlList` 过滤后为空，就视为缺少真实图片素材，停止发布
+- 如果 tool / schema 同时表现出“要图片”和“视频图片不能并传”的矛盾：
+  - 不要用占位 `imgUrlList` 重试
+  - 不要把视频和图片混传
+  - 直接说明这是工具侧参数冲突，当前不能靠伪造参数绕过
+
 ## 当前可用内容与发布支撑工具
 
 ### 素材与爬取