المهارات lark-openapi-explorer
📦
lark-openapi-explorer
v1.0.0 مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات
استكشاف نقاط نهاية Lark OpenAPI
تحتاج الفرق غالبا إلى إجراءات Lark API غير مغلفة بمهارات موجودة. تعثر هذه المهارة على تفاصيل نقاط النهاية الرسمية وتساعد على استدعائها من خلال lark-cli.
يدعم: Claude Codex Code(CC)
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "lark-openapi-explorer" from https://skillstore.io/skills/larksuite-lark-openapi-explorer.md and its manifest at https://skillstore.io/api/skills/larksuite-lark-openapi-explorer/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "lark-openapi-explorer". اعثر على كيفية إضافة مستخدمين إلى دردشة Lark عندما لا يوجد أمر مغلف.
النتيجة المتوقعة:
تحدد المهارة نقطة نهاية أعضاء الدردشة، وتسرد المعرفات والأذونات المطلوبة، وتطلب التأكيد قبل إضافة الأعضاء.
جارٍ استخدام "lark-openapi-explorer". اشرح API لتحديث إعلان دردشة باللغة الإنجليزية.
النتيجة المتوقعة:
تلخص المهارة غرض نقطة النهاية، وقيمة المراجعة المطلوبة، وتنسيق محتوى الإعلان، والأذونات، وسلوك الاستجابة المتوقع.
جارٍ استخدام "lark-openapi-explorer". تحقق مما إذا كان أمر موجود يمكنه التعامل مع مهمة مراسلة.
النتيجة المتوقعة:
تراجع المهارة أولا أوامر مراسلة lark-cli المتاحة، ثم تستخدم توثيق OpenAPI فقط إذا لم يوجد أمر مباشر.
التدقيق الأمني
مخاطر عاليةv7 • ٩/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
Most static backtick detections are Markdown formatting false positives, but several entries describe real lark-cli command workflows. The skill also relies on official Feishu and Lark documentation fetches and contains out-of-package sibling skill references. No prompt-injection attempt was found in SKILL.md.
1
الملفات التي تم فحصها
154
الأسطر التي تم تحليلها
15
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (1)
مرتفع
Authenticated Lark API Mutation Capability
The skill instructs agents to call raw Lark OpenAPI POST, PUT, PATCH, and DELETE operations through lark-cli. Misuse could alter chats, members, announcements, or other tenant resources under the authenticated account.
The file explicitly lists mutating HTTP methods and examples that modify chat members and announcements. Built-in confirmation guidance reduces abuse risk but does not remove the capability.
عناصر مراجعة القدرات (15)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Path traversal sequence
> **前置条件:** 先阅读 [`../lark-shared/SKILL.md`](../lark-shared/SKILL.md) 了解认证、身份切换和安全规则。
The skill asks the agent to read ../lark-shared/SKILL.md outside this skill directory. That crosses the package boundary even if the intended target is a sibling Lark skill.
مرتفع
Path traversal sequence
- [lark-shared](../lark-shared/SKILL.md) — 认证和全局参数
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
مرتفع
Path traversal sequence
- [lark-skill-maker](../lark-skill-maker/SKILL.md) — 如需将挖掘到的 API 固化为新 Skill
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
متوسط
Ruby/shell backtick execution
当用户的需求**无法被现有 skill 或 CLI 已注册 API 覆盖**时,使用本技能从飞书官方 markdown 文档库中逐层挖掘原生 OpenAPI 接口,然后通过 `lark-cli api
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
متوسط
Ruby/shell backtick execution
```bash
The block includes a lark-cli command invocation. It is a read-only help check, but it still depends on executing an external binary.
متوسط
Ruby/shell backtick execution
使用 `lark-cli api` 裸调:
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
متوسط
Ruby/shell backtick execution
```bash
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
متوسط
Ruby/shell backtick execution
5. **调用示例**:给出 `lark-cli api` 的完整命令
The text asks the agent to provide a complete lark-cli api command. This is command generation rather than direct execution, but it supports the authenticated command workflow.
متوسط
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
متوسط
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
منخفض
Hardcoded URL
| 飞书 (Feishu) | `https://open.feishu.cn/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
منخفض
Hardcoded URL
| Lark | `https://open.larksuite.com/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
منخفض
Hardcoded URL
WebFetch https://open.feishu.cn/llms.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
منخفض
Hardcoded URL
WebFetch https://open.feishu.cn/llms-docs/zh-CN/llms-<module>.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
منخفض
Hardcoded URL
WebFetch https://open.feishu.cn/document/server-docs/.../<api>.md
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
عوامل الخطر
⚙️ الأوامر الخارجية (25)
SKILL.md:12 SKILL.md:14 SKILL.md:20-24 SKILL.md:24-30 SKILL.md:30-31 SKILL.md:31-41 SKILL.md:41-44 SKILL.md:44-52 SKILL.md:52-55 SKILL.md:55-57 SKILL.md:57-58 SKILL.md:58-65 SKILL.md:65-68 SKILL.md:68-74 SKILL.md:74-77 SKILL.md:77-81 SKILL.md:81-83 SKILL.md:83-95 SKILL.md:95-102 SKILL.md:102-105 SKILL.md:105-113 SKILL.md:113-121 SKILL.md:121-133 SKILL.md:133-137 SKILL.md:137-148
🌐 الوصول إلى الشبكة (5)
📁 الوصول إلى نظام الملفات (4)
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/larksuite-lark-openapi-explorer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/larksuite-lark-openapi-explorer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
larksuite. (2026). lark-openapi-explorer security audit report (audit version 7) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7اقتباس BibTeX
@techreport{larksuite-larksuite-lark-openapi-explorer-2026,
author = {larksuite},
title = {lark-openapi-explorer security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "lark-openapi-explorer security audit report (audit version 7)"
version: "1.0.0"
type: report
authors:
- name: "larksuite"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7"
identifiers:
- type: other
value: "skillstore:larksuite-lark-openapi-explorer:audit:7"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: مرتفع 55
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
68
المجتمع
91
الامتثال للمواصفات
ما الذي يمكنك بناؤه
العثور على Chat API غير مغلف
تحديد نقطة النهاية الرسمية لإجراء دردشة لا يتيحه lark-cli مباشرة.
إعداد خطة استدعاء API
جمع المعلمات المطلوبة والنطاقات وقيود الطلب قبل تشغيل عملية Lark حساسة.
ترجمة توثيق API
تحويل توثيق Feishu OpenAPI الصيني إلى ملاحظات تنفيذية موجزة باللغة الإنجليزية.
جرّب هذه الموجّهات
العثور على نقطة نهاية Lark
اعثر على نقطة نهاية Lark OpenAPI الرسمية لهذه المهمة: [describe task]. تحقق أولا من تغطية lark-cli الحالية.
تلخيص المدخلات المطلوبة
استخدم توثيق Feishu الرسمي لسرد الطريقة والمسار والمعلمات المطلوبة والأذونات والأخطاء الرئيسية لـ [task].
إعداد استدعاء آمن
أعد استدعاء lark-cli api لـ [task]. اطلب التأكيد قبل أي عملية كتابة أو تحديث أو حذف.
مقارنة واجهات API المرشحة
ابحث في توثيق Lark OpenAPI عن واجهات API المرتبطة بـ [workflow]. قارن بين المرشحين وأوص بنقطة النهاية الأكثر أمانا.
أفضل الممارسات
- ابدأ بمساعدة lark-cli الحالية قبل استكشاف نقاط نهاية OpenAPI الخام.
- استخدم توثيق Feishu أو Lark الرسمي كمصدر للحقيقة لكل معلمة.
- أكد الموارد المستهدفة والنطاقات والتأثير المتوقع قبل تشغيل الاستدعاءات التي تغير البيانات.
تجنب
- لا تخمن مسارات API أو أجسام الطلبات من الذاكرة.
- لا تشغل عمليات POST أو PUT أو PATCH أو DELETE بدون تأكيد صريح.
- لا تتبع روابط توثيق API غير الرسمية لاكتشاف نقاط النهاية.
الأسئلة المتكررة
ما المشكلة التي تحلها هذه المهارة؟
تساعد في العثور على نقاط نهاية Lark OpenAPI الأصلية عندما لا تغطي المهارات الحالية أو أوامر lark-cli مهمة ما.
هل تتطلب lark-cli؟
نعم. صممت المهارة لاستدعاء نقاط النهاية من خلال lark-cli api بعد الاكتشاف.
هل يمكنها إجراء تغييرات في مساحة عمل Lark؟
نعم، إذا أكد المستخدم عملية كتابة وكان لدى الحساب المصادق الأذونات المطلوبة.
ما مصادر التوثيق التي تستخدمها؟
تستخدم فهارس توثيق Feishu وLark OpenAPI الرسمية وصفحات نقاط النهاية.
هل يمكن للمستخدمين الناطقين بالإنجليزية استخدامها؟
نعم. توجه المهارة المساعد إلى ترجمة تفاصيل التوثيق الصيني إلى الإنجليزية عند الحاجة.
هل تحل محل مراجعة API الرسمية؟
لا. لا يزال يجب على المستخدمين التحقق من الأذونات ومعرفات الأهداف وتأثير العملية قبل التنفيذ.