中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 10/100
上次扫描：2 天前 重新扫描
10 /100
youtube-to-feishu
Download YouTube video audio and upload to Feishu cloud storage
合法的 YouTube 音频下载工具，代码实现了 SKILL.md 声明的功能，使用 yt-dlp 进行下载是合理用途，无恶意行为。
技能名称youtube-to-feishu
分析耗时31.5s
引擎pi
✓
可以安装
无需修改，可直接使用。

安全发现 2 项

严重性 安全发现 位置
低危
文档声明不完整
SKILL.md 未声明需要 shell:WRITE 执行 yt-dlp 和 filesystem:WRITE 写入临时文件的能力
Tools 部分仅声明 youtube_upload 命令，未列出实际需要的 allowed-tools
→ 建议在 SKILL.md 的 Tools 部分补充说明使用 subprocess 执行 yt-dlp CLI 工具
 SKILL.md:1
低危
URL 验证较宽松
index.js:67 的 URL 验证只检查是否包含 youtube.com 或 youtu.be，未验证完整 URL 格式
!url.includes("youtube.com") && !url.includes("youtu.be")
→ 建议使用正则表达式验证完整 URL 格式，防止 URL 混淆攻击
 index.js:67
资源类型声明权限推断权限状态证据
命令执行 NONE WRITE ✓ 一致 index.js:31 youtube_upload.py:45-68 subprocess.run 调用 yt-dlp
文件系统 NONE WRITE ✓ 一致 youtube_upload.py:60-61 写入 TEMP_DIR 临时目录
网络访问 NONE READ ✓ 一致 yt-dlp 访问 YouTube，属于功能必要
7 项发现
🔗
中危 外部 URL 外部 URL
https://clawhub.ai
PUBLISH_GUIDE.md:24
🔗
中危 外部 URL 外部 URL
https://clawhub.ai/import
PUBLISH_GUIDE.md:71
🔗
中危 外部 URL 外部 URL
https://www.youtube.com/watch?v=VIDEO_ID
PUBLISH_GUIDE.md:103
🔗
中危 外部 URL 外部 URL
https://clawhub.ai/skills/youtube-to-feishu
PUBLISH_GUIDE.md:147
🔗
中危 外部 URL 外部 URL
https://www.youtube.com/watch?v=dyJUscv7b9g
README.md:45
🔗
中危 外部 URL 外部 URL
https://youtu.be/VIDEO_ID
README.md:51
🔗
中危 外部 URL 外部 URL
https://www.youtube.com/watch?v=...
index.js:70

目录结构

8 文件 · 24.1 KB · 895 行
Markdown 3f · 468L Python 2f · 342L JavaScript 1f · 79L JSON 1f · 5L Text 1f · 1L
├─ 📋 _meta.json JSON 5L · 136 B
├─ 📜 index.js JavaScript 79L · 2.2 KB
├─ 📝 PUBLISH_GUIDE.md Markdown 194L · 4.1 KB
├─ 📝 README.md Markdown 190L · 4.3 KB
├─ 📄 requirements.txt Text 1L · 17 B
├─ 📝 SKILL.md Markdown 84L · 2.6 KB
├─ 🐍 youtube_to_feishu_complete.py Python 195L · 6.1 KB
└─ 🐍 youtube_upload.py Python 147L · 4.7 KB

依赖分析 1 项

包名版本来源已知漏洞备注
yt-dlp >=2024.0.0 pip 否 合法的 YouTube 下载工具，版本锁定合理

安全亮点

✓ URL 验证阻止非 YouTube 链接（youtube.com/youtu.be）
✓ subprocess 超时设置合理（60s 信息获取，300s 下载）
✓ 临时文件清理机制完善（保留新文件，删除超过1天的旧文件）
✓ 错误处理覆盖完整（returncode 检查、JSON 解析异常捕获）
✓ 只使用标准库和 yt-dlp，无过多第三方依赖
✓ 无凭证收割、远程执行、数据外泄等恶意行为