Lark Whiteboard Skill Security Audit

34写文件   <dir>/diagram.svg35渲染     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -o <dir>/diagram.png -f svg36检查     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --check37导出     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --to openapi --format json > <dir>/diagram.json38```

32```33建目录   ./diagrams/YYYY-MM-DDTHHMMSS/         (例：./diagrams/2026-04-15T143022/)34写文件   <dir>/diagram.svg35渲染     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -o <dir>/diagram.png -f svg36检查     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --check37导出     npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --to openapi --format json > <dir>/diagram.json38```

59// ══════════════════════════════════════════════════════════════60// 只需修改这里 -- 填入用户要求的阶段数据和中心标题61// ══════════════════════════════════════════════════════════════6263const centerTitle = '{{CENTER_TITLE}}';64const centerSubtitle = '{{CENTER_SUBTITLE}}'; // 可选，不需要就留空字符串6566const stages = [67  { title: '{{STAGE_1}}', subtitle: '{{SUB_1}}', desc: '{{DESC_1}}' },68  { title: '{{STAGE_2}}', subtitle: '{{SUB_2}}', desc: '{{DESC_2}}' },69  { title: '{{STAGE_3}}', subtitle: '{{SUB_3}}', desc: '{{DESC_3}}' },70  { title: '{{STAGE_4}}', subtitle: '{{SUB_4}}', desc: '{{DESC_4}}' },71];72

5859// ══════════════════════════════════════════════════════════════60// 只需修改这里 -- 填入用户要求的阶段数据和中心标题61// ══════════════════════════════════════════════════════════════6263const centerTitle = '{{CENTER_TITLE}}';64const centerSubtitle = '{{CENTER_SUBTITLE}}'; // 可选，不需要就留空字符串6566const stages = [67  { title: '{{STAGE_1}}', subtitle: '{{SUB_1}}', desc: '{{DESC_1}}' },68  { title: '{{STAGE_2}}', subtitle: '{{SUB_2}}', desc: '{{DESC_2}}' },69  { title: '{{STAGE_3}}', subtitle: '{{SUB_3}}', desc: '{{DESC_3}}' },70  { title: '{{STAGE_4}}', subtitle: '{{SUB_4}}', desc: '{{DESC_4}}' },71];72

186187writeFileSync('diagram.json', JSON.stringify({ version: 2, nodes }, null, 2));188```

4849### 3. 上传到目标画板5051**必须**使用 `docs +media-upload --parent-type whiteboard` 上传：5253```bash54lark-cli docs +media-upload --file ./photo1.jpg --parent-type whiteboard --parent-node <whiteboard_token>55# 响应: { "file_token": "<media_token>", ... }56```57

67## ⚠️ 有损性警告89SVG 导出是**纯视觉快照**，再次导入后画板语义（思维导图层级/表格结构/连线绑定/容器类型/mention/节点 ID/锁定/评论）会丢失。1011**保留的信息**：形状几何（位置/大小/路径）、文本内容与基本格式（字号/粗体/斜体/对齐）、填充色/描边色/透明度（线性渐变降级为第一个 stop-color 纯色）、连接器路径形状与箭头样式、`<g>` 嵌套的基本分组关系（≥2 子元素时重建为 DirectFocusGroup）。12

6364# 从文件读取并更新65lark-cli whiteboard +update \66  --whiteboard-token <画板Token> \67  --input_format mermaid \68  --source @./diagram.mmd \69  --overwrite --as user70```

17|----------------------|----|--------------------------------------------|18| `--whiteboard-token` | 是  | 画板 token，需要拥有画板的编辑权限                       |19| `--idempotent-token` | 否  | 幂等 token，确保更新操作幂等；最少 10 个字符，建议使用时间戳 + 场景标识拼接（如 `1744800000-board-1`）。同一次逻辑更新只生成一次该 token，重试时须原样复用；切勿在每次重试时重新生成时间戳或幂等 key，否则会重复写入 |20| `--overwrite`        | 否  | 写入模式：带上则覆盖更新（写入前删除画板所有现有内容再写入）；省略则为增量追加（保留原有内容，新内容叠加写入）。默认 false（增量追加）|21| `--source`           | 是  | 输入画板内容，支持使用 `@path` 从文件读取，或 `-` 从 stdin 读取 |22| `--input_format`     | 否  | 输入格式：`raw`、`plantuml`、`mermaid`、`svg`，默认为 `raw`  |23

1617### 0. 用户确认（强制）1819执行任何编辑前，先判断**紧邻的上一条用户消息**是否已明确确认有损编辑：2021- **已确认**（含用户主动预授权，如"我知道有损，直接改"）→ 直接进入 Step 1，不再重复警告。22- **未确认或回复含糊** → 原样向用户发出下面这句话，**然后立即结束本回合等待回复** —— 同一条消息内不得附带任何导出/编辑/写回命令或工具调用：2324> SVG 编辑只保证视觉层面对齐，画板语义（层级/节点类型/思维导图结构/表格结构/连线绑定/容器类型/mention 等）将不可恢复，是否继续？2526这是**知情确认**（动手前让用户对语义丢失止损）；真正的破坏性写入在 Step 4 还会再经 `--overwrite` dry-run 确认一次，二者职责不同、都不可省。27

6768### 4. 写回画板6970`--overwrite` 会清空原画板内容，确认后再执行7172```bash73# dry-run 探测74lark-cli whiteboard +update \75  --whiteboard-token <TOKEN> \76  --source @<dir>/edited.svg \77  --input_format svg \78  --idempotent-token <10+字符唯一串> \79  --overwrite --dry-run --as user8081# 用户确认后执行82lark-cli whiteboard +update \83  --whiteboard-token <TOKEN> \84  --source @<dir>/edited.svg \85  --input_format svg \86  --idempotent-token <10+字符唯一串> \87  --overwrite --as user88```

1---2name: lark-doc3description: "飞书云文档（Docx / Wiki）内容操作：读取、创建、编辑文档，插入或下载图片附件，以及操作思维笔记。用户提供文档 URL/token（包括 doubao.com 的 /docx/、/wiki/）时使用；按 URL 路径/token 而非域名路由。文档内嵌资源按读取参考中的统一规则分流。独立评论操作走 lark-drive；随正文读取评论使用 docs +fetch。表格或 Base 内部数据操作不在本 skill。"4metadata:

1---2name: lark-contact3version: 1.0.04description: "飞书 / Lark 通讯录:按姓名 / 邮箱解析成 open_id,或按 open_id 反查姓名 / 部门 / 邮箱 / 联系方式 / 个人状态 / 签名,以及按关键词搜索当前用户可见的机器人 / 智能体(agent)。当用户提到一个名字要下一步发消息 / 排日程,或拿到 open_id 想查具体信息时使用。不负责部门树遍历、按部门列员工、组织架构图,这类需求走原生 OpenAPI。"5metadata:

78**Step 1：获取 board_token**910| 用户给了什么 | 怎么获取 |11|---|---|12| 直接给了 whiteboard token（`wbcnXXX`）| 直接使用 |13| 文档 URL 或 doc_id，文档中已有画板 | `lark-cli docs +fetch --doc <URL> --as user`，从返回的 `<whiteboard token="xxx"/>` 提取 |14| 文档 URL 或 doc_id，需要新建画板 | `lark-cli docs +update --doc <doc_id> --command append --content '<whiteboard type="blank"></whiteboard>' --as user`，从响应 `data.new_blocks[0].block_token` 取得（`block_type == "whiteboard"` 的那条；参数详见 lark-doc SKILL.md）|15

67## 取值来源（强约束）89- 本页只讲 @用户（mentionUser）。@文档（mentionDoc）暂不支持。10- `mentionUserId` 必须是**真实的飞书用户 open_id**（形如 `ou_xxxxxxxx`）。11- 用户只给出**姓名**时，先用 `lark-contact` skill 把姓名解析成 open_id，再填入 `mentionUserId`。12- **无法解析出真实 open_id 时，停下向用户确认，禁止臆造 id**。假 id 会写入失败或 @ 到错误的人。13

6667## 不在本 skill 范围6869- 发消息 / 查聊天记录 → [`lark-im`](../lark-im/SKILL.md)70- 排日程 / 邀请会议 → [`lark-calendar`](../lark-calendar/SKILL.md)71- 部门树 / 按部门列员工 / 组织架构 → [`lark-openapi-explorer`](../lark-openapi-explorer/SKILL.md) 查找原生接口72