Habilidades xiaohongshu-search

📦

xiaohongshu-search

Name: xiaohongshu-search
Author: um-why

Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos🔑 Variables de entorno

Buscar tendencias de mercado en Xiaohongshu

La investigación en Xiaohongshu puede tomar horas cuando los equipos inspeccionan manualmente notas, creadores y señales de interacción. Esta skill busca notas públicas por palabra clave y devuelve resultados estructurados para acelerar el análisis de contenido y de mercado.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "xiaohongshu-search" from https://skillstore.io/skills/um-why-xiaohongshu-search.md and its manifest at https://skillstore.io/api/skills/um-why-xiaohongshu-search/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/um-why-xiaohongshu-search.md Manifest firmado GET /api/skills/um-why-xiaohongshu-search/manifest Lockfile firmado GET /api/skills/um-why-xiaohongshu-search/lockfile

Pruébalo

Usando "xiaohongshu-search". Busca "tutorial de IA" con 10 resultados integrales.

Resultado esperado:

Una lista de resultados clasificada con títulos de notas, horas de publicación, enlaces de notas, nombres de creadores y recuentos de interacción.

Usando "xiaohongshu-search". Busca "atuendos de primavera" como notas image-text ordenadas por Me gusta.

Resultado esperado:

Un resumen en Markdown que muestra las notas públicas con más Me gusta y sus métricas de interacción visibles.

Usando "xiaohongshu-search". Busca una palabra clave de marca y guarda los resultados más recientes.

Resultado esperado:

Salida de consola más un archivo local last-search.json que contiene el conjunto de resultados estructurados más reciente.

Auditoría de seguridad

Riesgo alto

v5 • 7/7/2026 Abrir el informe versionado

Most shell execution and obfuscation alerts are false positives from JavaScript template literals, ANSI escape codes, Markdown examples, and Chinese text. Confirmed issues are the external API dependency, token handling through environment or default credentials, and persistent local result caching. No prompt injection evidence was found in the reviewed files.

Archivos escaneados

734

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (5)

Alto

scripts/search.js:119

Environment file access

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The flagged line reads GUAIKEI_API_TOKEN, which is then used in outbound API requests. The pattern is not an environment file read, but it is sensitive credential handling.

Alto

lib/key.js:18

[HEURISTIC] Very high entropy string (5.59 bits) - likely encoded/encrypted payload

未正确设置 GUAIKEI_API_TOKEN 环境变量, 将使用默认值, 可能影响搜索效率或搜索频率受限, 建议升级为私有TOKEN以获得更好的搜索体验

The surrounding token module returns a bundled default API token when GUAIKEI_API_TOKEN is absent. A shared embedded credential is a real security and abuse risk.

Alto

lib/key.js:16-20

Bundled Default API Token

The token helper returns a hardcoded default token when GUAIKEI_API_TOKEN is missing. Shared fallback credentials can be abused and make API usage hard to attribute.

The fallback branch directly returns a 32-character token string after warning the user. The behavior is explicit in the token management module.

Alto

scripts/search.js:119 lib/xiaohongshu.js:141-152 lib/xiaohongshu.js:239-250

API Token Sent In URL Query Parameters

The API token is placed into query parameters for task creation and result lookup. Query strings are often logged by clients, proxies, and services.

The script reads GUAIKEI_API_TOKEN and both request builders include token in querystring parameters. This is direct evidence of credential exposure through URLs.

Medio

scripts/search.js:208-210

Search Results Persisted Locally

The command writes the latest complete result object to scripts/last-search.json. This can retain user keywords, Xiaohongshu links, and returned profile metadata after the command finishes.

The final output object contains keyword, result links, metrics, and metadata, then writeFileSync saves it locally. The code has no opt-out or retention setting.

Elementos de revisión de capacidades (8)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Medio

lib/xiaohongshu.js:159

HTTP/HTTPS request

const req = https.request(options, (res) => {

The code makes HTTPS requests to the external Guaikei service and includes user keywords and token-derived parameters. This is expected functionality but still transfers data outside the local environment.

Medio

lib/xiaohongshu.js:257

HTTP/HTTPS request

const req = https.request(options, (res) => {

Medio

lib/xiaohongshu.js:159

HTTP client library

const req = https.request(options, (res) => {

Medio

lib/xiaohongshu.js:257

HTTP client library

const req = https.request(options, (res) => {

Medio

scripts/search.js:210

Node.js fs operations

fs.writeFileSync(outputPath, JSON.stringify(finalOutput, null, 2));

The script writes the full final search output to scripts/last-search.json. This can persist user keywords, result links, and returned metadata without a retention control.

Medio

scripts/search.js:210

Synchronous file operations

fs.writeFileSync(outputPath, JSON.stringify(finalOutput, null, 2));

The script writes the full final search output to scripts/last-search.json. This can persist user keywords, result links, and returned metadata without a retention control.

Medio

scripts/search.js:119

Environment variable access (dot notation)

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The command reads GUAIKEI_API_TOKEN from process.env and passes it into external API calls. Accessing a secret-bearing environment variable is security relevant.

Medio

scripts/search.js:119

Environment variable object

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The command reads GUAIKEI_API_TOKEN from process.env and passes it into external API calls. Accessing a secret-bearing environment variable is security relevant.

Factores de riesgo

⚙️ Comandos externos (58)

🌐 Acceso a red (9)

lib/xiaohongshu.js:159 lib/xiaohongshu.js:257 lib/xiaohongshu.js:159 lib/xiaohongshu.js:257 lib/xiaohongshu.js:271 lib/xiaohongshu.js:278 package.json:16 package.json:18 package.json:22

📁 Acceso al sistema de archivos (15)

lib/xiaohongshu.js:84 scripts/search.js:40 scripts/search.js:113 scripts/search.js:117 scripts/search.js:161 scripts/search.js:210 scripts/search.js:39 scripts/search.js:107 scripts/search.js:108 scripts/search.js:160 scripts/search.js:117 scripts/search.js:210 scripts/search.js:3 scripts/search.js:4 scripts/search.js:5

🔑 Variables de entorno (2)

scripts/search.js:119 scripts/search.js:119

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/um-why-xiaohongshu-search/security.svg)](https://skillstore.io/skills/um-why-xiaohongshu-search?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/um-why-xiaohongshu-search?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/um-why-xiaohongshu-search/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/um-why-xiaohongshu-search.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

um-why. (2026). xiaohongshu-search security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5

Cita BibTeX

@techreport{um-why-um-why-xiaohongshu-search-2026,
  author = {um-why},
  title = {xiaohongshu-search security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xiaohongshu-search security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "um-why"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5"
identifiers:
  - type: other
    value: "skillstore:um-why-xiaohongshu-search:audit:5"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Encontrar ideas de contenido

Busca un tema y revisa notas con alta interacción antes de planificar nuevas publicaciones de Xiaohongshu.

Monitorear temas de competidores

Haz seguimiento de palabras clave de marca o categoría para ver notas públicas recientes y señales de interacción.

Crear instantáneas de investigación

Recopila resultados estructurados por palabra clave para comprobaciones rápidas de tendencias y planificación de campañas.

Prueba estos prompts

Búsqueda básica por palabra clave

Busca en Xiaohongshu "cuidado de la piel en verano" y devuelve 10 resultados en formato JSON.

Comprobación de tendencias de video

Busca videos de Xiaohongshu sobre "entrenamiento en casa" y ordénalos por los resultados más recientes.

Revisión de alta interacción

Busca "equipo de camping" en Xiaohongshu, devuelve 20 notas image-text y ordénalas por Me gusta.

Instantánea de monitoreo de competidores

Busca en Xiaohongshu la palabra clave de nuestra marca competidora, devuelve 30 resultados en Markdown y resume títulos, enlaces, creadores y patrones de interacción.

Mejores prácticas

Usa un GUAIKEI_API_TOKEN privado y rótalo si los registros pueden exponer cadenas de consulta.
Mantén las palabras clave específicas y entre 2 y 50 caracteres para obtener resultados más limpios.
Elimina last-search.json cuando los resultados de búsqueda no deban permanecer en el disco.

Evitar

No busques términos privados, sensibles o de identificación personal sin una razón comercial válida.
No trates los recuentos de interacción devueltos como analíticas verificadas libres de fraude.
No publiques resultados sin revisar los términos de la plataforma Xiaohongshu y las reglas de uso de datos.