安全决策报告
guaikei-video-to-script
文档承诺「错误提示中性、不含营销文案」，但 token.js 在 TOKEN 验证失败时输出大量营销内容（官网链接、微信联系方式），存在文档-行为不符；依赖 node-downloader-helper 无版本锁定存在供应链风险。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 2 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
发现 1 项需要关注的依赖或供应链线索。
风险分是怎么被拉高的
文档-行为不符 +20
SKILL.md 第14节承诺错误提示中性、不含营销/联系方式，但 scripts/utils/token.js 第11-16行输出 www.guaikei.com 和 13395823479
供应链风险 +10
scripts/utils/download.js 使用 node-downloader-helper 无版本锁定（package.json 中缺失）
其他轻微问题 +5
scripts/utils/request.js 第44行在错误信息中包含微信联系方式
最关键的证据
中危 文档欺骗
文档承诺与实际行为不符
SKILL.md 第14节明确承诺「错误提示中性，不夹带营销文案、联系方式或官网链接」，但 scripts/utils/token.js 第8-16行在 TOKEN 验证失败时输出了「一键解锁全部功能，即刻恢复高效办公」「快速获取通道: www.guaikei.com」「专属客服微信: 13395823479」等营销内容和联系方式。
scripts/utils/token.js:8 删除所有营销文案和联系方式，仅保留中性错误提示如「请检查 TOKEN 配置」
中危 文档欺骗
错误信息中包含联系方式
scripts/utils/request.js 第44行在 401/403 错误时输出「联系微信: 13395823479」，同样违反 SKILL.md 第14节的承诺。
scripts/utils/request.js:44 改为中性错误提示，移除微信联系方式
低危 供应链
依赖无版本锁定
scripts/utils/download.js 使用 node-downloader-helper npm 包，但 package.json 中未指定版本。攻击者可能通过供应链投毒注入恶意代码。
scripts/utils/download.js:7 在 package.json 中锁定 node-downloader-helper 版本，如 "node-downloader-helper": "^2.0.0"
声明能力 vs 实际能力
网络访问 通过
声明 READ
→ 推断 READ
所有网络请求仅指向 www.guaikei.com，符合声明 文件系统 通过
声明 READ
→ 推断 WRITE
下载视频文件到 tmp 目录并上传，符合视频处理场景的合理需求 命令执行 通过
声明 NONE
→ 推断 NONE
未发现 shell 命令执行 环境变量 通过
声明 READ
→ 推断 READ
仅读取 GUAIKEI_API_TOKEN，用于 API 鉴权 可疑产物与外联
中危 外部 URL
https://www.guaikei.com README.md:7
中危 外部 URL
http://v18.xhscdn.com/stream/.*.mp4 scripts/video2text/index.js:42
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| node-downloader-helper | * | npm | 否 | 无版本锁定，存在供应链风险 |
文件构成
16 个文件 · 3084 行
JavaScript 13 个文件 · 2064 行Markdown 2 个文件 · 974 行JSON 1 个文件 · 46 行
需关注文件 · 5
scripts/utils/token.js 文档承诺与实际行为不符
README.md https://www.guaikei.com
scripts/utils/download.js 依赖无版本锁定
scripts/video2text/index.js http://v18.xhscdn.com/stream/.*.mp4
scripts/utils/request.js 错误信息中包含联系方式
其他文件 · SKILL.md · args.js · upload.js · video.js · helper.js · utils.js +1
安全亮点
网络通信仅限于 www.guaikei.com，符合声明
未发现凭证收割、代码执行或数据外泄行为
TOKEN 验证逻辑正常，无后门
文件操作（下载/上传）符合视频处理场景的合理需求
视频处理完成后自动清理临时文件
错误处理完整，无崩溃风险