中风险
原生 API 通道可绕过已注册命令的范围限制
原文依据：4 处发现了什么
当现有 Skill 或已注册 API 无法满足需求时，该 Skill 明确改用 `lark-cli api` 裸调，并允许 POST、PUT 和 DELETE。虽然它要求在写入或删除前确认意图，但 dry-run 只是建议且取决于支持情况；本文件也没有要求在确认时展示已解析的租户、身份、对象或完整变更范围。
为什么需要注意
如果路径、参数、登录身份或目标对象理解错误，已确认的请求仍可能修改群公告、添加成员或删除其他云端资源。影响发生在用户的飞书/Lark 账户中，可能对成员、群组或其他有权访问的资源造成持久变更。
该技能明确在现有封装不足时改用通用的 `lark-cli api`，并提供会改变或删除飞书数据的 POST、PUT、DELETE 调用方式。这不是绕过飞书授权 scope 的证据，但确实绕过了已注册命令提供的操作边界；如果代理误判用户意图、身份或目标对象，现有凭据允许的群组、成员或其他数据可能被修改。文件要求写入/删除前确认并说明敏感操作影响，但 dry-run 仅为建议，且本文件未规定确认时展示租户、执行身份和确切目标。用户可要求作者明确这些确认信息，并限制通用 API 命令可用的方法或 scope。
当用户的需求**无法被现有 skill 或 CLI 已注册 API 覆盖**时，使用本技能从飞书官方 markdown 文档库中逐层挖掘原生 OpenAPI 接口，然后通过 `lark-cli api` 裸调完成任务。查看另外 3 个位置
# POST 请求lark-cli api POST /open-apis/<path> --data '{"key":"value"}'# PUT 请求lark-cli api PUT /open-apis/<path> --data '{"key":"value"}'# DELETE 请求lark-cli api DELETE /open-apis/<path>```- **写入/删除类 API**（POST/PUT/DELETE）调用前必须确认用户意图- 建议先用 `--dry-run` 预览请求（如支持）- 不要猜测 API 路径或参数——必须从文档中获取确认- 涉及敏感操作（删除群、移除成员等）时，向用户说明影响范围使用 `lark-cli api` 裸调：```bash# GET 请求lark-cli api GET /open-apis/<path> --params '{"key":"value"}'# POST 请求lark-cli api POST /open-apis/<path> --data '{"key":"value"}'# PUT 请求lark-cli api PUT /open-apis/<path> --data '{"key":"value"}'# DELETE 请求lark-cli api DELETE /open-apis/<path>```