用途分类 / 其他用途
Lark Skill Maker Skill 安全审计
作者说它能做什么（原文）
创建 lark-cli 的自定义 Skill。当用户需要把飞书 API 操作封装成可复用的 Skill（包装原子 API 或编排多步流程）时使用。
第三方安全检查结论
这次检查未发现明显风险
- 已检查文件
- 1
- 发现的风险
- 0
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险
Skill 逻辑拆解
此 Skill 的用途是指导 AI 编写新的飞书 CLI Skill；提供的材料本身没有脚本，也没有要求立即执行 API 操作。生成物被指定为 skills/lark-<name>/SKILL.md。
查看原文
基于 lark-cli 创建新 Skill。Skill = 一份 `SKILL.md`，教 AI 用 CLI 命令完成任务。文件放在 `skills/lark-<name>/SKILL.md`：它指导作者先查看 lark-cli 已注册能力和参数定义；若仍无法满足需求，再查询飞书官方文档并通过通用 API 命令调用未注册接口。实际访问范围取决于以后生成的 Skill、所选接口及账户权限。
查看原文
```bash# 1. 查看已有的 API 资源和 Shortcutlark-cli <service> --help# 2. 查参数定义lark-cli schema <service.resource.method># 3. 未注册的 API，用 api 直接调用lark-cli api GET /open-apis/vc/v1/rooms --params '{"page_size":"50"}'lark-cli api POST /open-apis/vc/v1/rooms/search --data '{"query":"5F"}'```如果以上命令无法覆盖需求（CLI 没有对应的已注册 API 或 Shortcut），使用 [lark-openapi-explorer](../lark-openapi-explorer/SKILL.md) 从飞书官方文档库逐层挖掘原生 OpenAPI 接口，获取完整的方法、路径、参数和权限信息，再通过 `lark-cli api` 裸调完成任务。通过以上流程确定需要哪些 API、参数和 scope。模板要求生成的 Skill 记录所需权限，并明确写入前确认用户意图、优先用 dry-run 预览，同时说明多步操作的数据传递和失败回滚。
查看原文
## 权限| 操作 | 所需 scope ||------|-----------|| xxx | `scope:name` |```- **description 决定触发** — 包含功能关键词 + "当用户需要...时使用"- **认证** — 说明所需 scope，登录用 `lark-cli auth login --domain <name>`- **安全** — 写入操作前确认用户意图，建议 `--dry-run` 预览- **编排** — 说明数据传递、失败回滚、可并行步骤从这里开始 · 工作说明SKILL.md
lark-skill-maker文件与检查记录1 个文件
检查范围与遗漏
逐文件查看涉及的内容
下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。
SKILL.md已纳入全文
这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。
SKILL.md工作说明
代码和说明中提到的操作
运行命令
```bashlark-cli <service> <resource> <method> # 已注册 API```bash# 1. 查看已有的 API 资源和 Shortcut\```bash# 单步操作- 读取了多少行
- 86
- 文件校验值（用于核对版本）
- 40530a05295914d5dadd36e2f1a7e959238dddbe9764b2afeb0dd5f5bd9f8476