中风险
画板功能会无询问地下载并执行版本范围内的 npm 包
原文依据：4 处发现了什么
画板入口要求自动运行 `npx -y`，而工作流多次执行 `@larksuite/whiteboard-cli@^0.2.13`。`-y` 自动接受安装，`^` 允许获取后续兼容版本，而证据中没有校验哈希或固定构件。
为什么需要注意
使用画板功能时，npm 获取到的包及安装脚本可在代理环境中执行，并接触当前工作区文件；上游包或分发链被破坏时会扩大影响。
画板入口要求无需询问便运行 `npx -y @larksuite/whiteboard-cli@^0.2.13`，后续渲染和转换流程也实际调用它。`-y` 会自动接受临时安装，`^0.2.13` 不是精确版本，因此在本地没有缓存时可能从 npm 获取并执行后续兼容版本。证据未显示完整性校验。这是与画板功能相关的依赖，但仍有供应链和本机代码执行风险；用户可限制网络并要求精确版本及锁定校验。
> [!IMPORTANT]> - 运行 `lark-cli --version`，确认可用，无需询问用户。> - 运行 `npx -y @larksuite/whiteboard-cli@^0.2.13 -v`，确认可用，无需询问用户。**CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../lark-shared/SKILL.md`](../lark-shared/SKILL.md)，其中包含认证、权限处理**查看另外 3 个位置
Step 3: 渲染 & 审查 → 交付 - 渲染前自查（见下方检查清单） - 渲染 PNG（仅用于预览验证，不是最终产物）：npx -y @larksuite/whiteboard-cli@^0.2.13 -i diagram.json -o diagram.png - 检查：信息完整？布局合理？配色协调？文字无截断？连线无交叉？ - 有问题 → 按症状表修复 → 重新渲染（最多 2 轮） - 2 轮后仍有严重问题 → 考虑走 Mermaid 路径兜底 - 写入画板：用 whiteboard-cli 将 diagram.json 转换为 OpenAPI 格式并 pipe 给 +update： npx -y @larksuite/whiteboard-cli@^0.2.13 -i diagram.json --to openapi --format json \ | lark-cli whiteboard +update --whiteboard-token <board_token> \ --source - --input_format raw --idempotent-token <时间戳+标识> --as user → 完整 dry-run / 确认流程见 [§ 写入画板](../references/lark-whiteboard-workflow.md#写入画板)```建目录 ./diagrams/YYYY-MM-DDTHHMMSS/ (例：./diagrams/2026-04-15T143022/)写文件 <dir>/diagram.svg渲染 npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -o <dir>/diagram.png -f svg检查 npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --check导出 npx -y @larksuite/whiteboard-cli@^0.2.13 -i <dir>/diagram.svg -f svg --to openapi --format json > <dir>/diagram.json``` - 2 轮后仍有严重问题 → 考虑走 Mermaid 路径兜底 - 写入画板：用 whiteboard-cli 将 diagram.json 转换为 OpenAPI 格式并 pipe 给 +update： npx -y @larksuite/whiteboard-cli@^0.2.13 -i diagram.json --to openapi --format json \ | lark-cli whiteboard +update --whiteboard-token <board_token> \ --source - --input_format raw --idempotent-token <时间戳+标识> --as user → 完整 dry-run / 确认流程见 [§ 写入画板](../references/lark-whiteboard-workflow.md#写入画板)