スキル lark-whiteboard-cli
📦
lark-whiteboard-cli
コンテンツリビジョン r1 高リスク ⚡ スクリプトを含む⚙️ 外部コマンド📁 ファイルシステムへのアクセス🌐 ネットワークアクセス
Larkホワイトボード図を作成
チームには、すべてのレイアウトを手作業で作らずに、Lark内で明確な図を作成する必要があります。このスキルは、Claude、Codex、Claude Codeに対して、洗練されたビジュアル出力のためのwhiteboard-cliワークフローを案内します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "lark-whiteboard-cli" from https://skillstore.io/skills/larksuite-lark-whiteboard-cli.md and its manifest at https://skillstore.io/api/skills/larksuite-lark-whiteboard-cli/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「lark-whiteboard-cli」を使用しています。 チェックアウト用のマイクロサービスアーキテクチャ図を作成してください。
期待される結果:
グループ化されたサービスレイヤー、コネクタ、レイアウトと読みやすさに関する短いレビューコメントを含むレンダリング済みPNG。
「lark-whiteboard-cli」を使用しています。 プロダクトローンチ計画のMermaidマインドマップを作ってください。
期待される結果:
リサーチ、構築、ローンチ、フォローアップの簡潔な分岐を持つ、ホワイトボード対応のマインドマップ画像。
「lark-whiteboard-cli」を使用しています。 このプロセス図を既存のLarkホワイトボードにアップロードしてください。
期待される結果:
最初に対象ボードを確認し、上書き前に確認を求める、準備済みのアップロードワークフロー。
セキュリティ監査
高リスクv4 • 2026/7/5 バージョン別レポートを開く
Most high-entropy, path traversal, reconnaissance, and Mermaid findings are false positives from Chinese markdown documentation, examples, and relative links. Confirmed risks are the intended command workflows: npm or npx execution, generated Node scripts, and authenticated lark-cli document or whiteboard updates. No prompt injection text was found in the reviewed files.
21
スキャンされたファイル
4,302
解析済み行数
10
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
高
Generated Script Injection Risk
The skill requires generated JavaScript for some diagrams and templates place user-derived diagram text into executable script data. Without explicit JSON serialization or escaping, malicious labels could become code when node runs the script.
The files clearly require generated scripts and show user-facing labels inside JavaScript string data. The risk depends on agent substitution behavior, so confidence is high but not absolute.
高
Authenticated Lark Whiteboard Overwrite Risk
The upload workflow fetches and updates Lark documents and whiteboards under an authenticated identity. A wrong token, document id, or overwrite confirmation could modify or delete remote whiteboard content.
The referenced lines include lark-cli fetch, document update, mandatory dry-run, and final whiteboard update commands. The dry-run reduces likelihood but confirms the workflow can mutate remote content.
機能レビュー項目 (10)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Ruby/shell backtick execution
| 文档 URL 或 doc_id,需要新建画板 | `lark-cli docs +update --doc <doc_id> --mode append --markdown '<whiteb
The line uses lark-cli docs +update to append a whiteboard to a document. This can mutate remote Lark content under the authenticated user identity.
高
Ruby/shell backtick execution
```bash
This begins the final upload command block that pipes whiteboard-cli output into lark-cli whiteboard update with --yes. It can change remote whiteboard content.
中
Ruby/shell backtick execution
> 如果执行失败,手动安装后重试:`npm install -g @larksuite/whiteboard-cli@^0.2.0`
The line instructs a global npm install of @larksuite/whiteboard-cli. Installing packages can execute lifecycle scripts and adds supply-chain risk.
中
Ruby/shell backtick execution
> 执行 `npm install` 安装新的依赖前,务必征得用户同意!
The line explicitly discusses running npm install for new dependencies. It requires consent, but dependency installation remains a real execution risk.
中
Ruby/shell backtick execution
- 推荐使用图标让图表更直观,运行 `npx -y @larksuite/whiteboard-cli@^0.2.0 --icons` 查看可用图标,选取合适的图标, 但不要过度使用或者所有图表都用图
The workflow tells the agent to run npx -y @larksuite/whiteboard-cli to list icons. npx -y can fetch and execute package code without an interactive prompt.
中
Ruby/shell backtick execution
> **构建方式是强约束**:当 scene 指南要求"脚本生成"时,必须先写脚本(.js)并用 `node` 执行来产出 JSON 文件。绝对定位场景(鱼骨图、飞轮图、柱状图、折线图等)的坐标需要数
The skill requires writing a JavaScript file and running node to generate diagram JSON. Executing generated scripts is risky if user text is not serialized safely.
中
Ruby/shell backtick execution
```bash
This begins a bash command block for running npx to inspect available icons. The command executes an npm package in the local environment.
中
Ruby/shell backtick execution
```bash
This begins a bash command block for rendering diagrams with npx. Rendering is intended behavior, but it still executes package code from the command line.
中
Ruby/shell backtick execution
| 文档 URL 或 doc_id,文档中已有画板 | `lark-cli docs +fetch --doc <URL> --as user`,从返回的 `<whiteboard token=”XX
The line uses lark-cli docs +fetch under user authentication. Fetching document content through a CLI can expose data if the target URL or permissions are wrong.
中
Ruby/shell backtick execution
> ```bash
This begins a bash command block that performs a dry-run whiteboard update. The dry run is a safeguard, but it still invokes authenticated CLI tooling.
リスク要因
⚡ スクリプトを含む (1)
⚙️ 外部コマンド (66)
scenes/fishbone.md:172-186 scenes/flywheel.md:123-132 scenes/flywheel.md:132-134 scenes/flywheel.md:134-188 SKILL.md:12 SKILL.md:13 SKILL.md:16 SKILL.md:23-33 SKILL.md:33-53 SKILL.md:53-55 SKILL.md:55-59 SKILL.md:59-61 SKILL.md:61-79 SKILL.md:79 SKILL.md:90-91 SKILL.md:91-92 SKILL.md:92-93 SKILL.md:93-94 SKILL.md:94-95 SKILL.md:95-102 SKILL.md:102-103 SKILL.md:103-104 SKILL.md:104-105 SKILL.md:105-106 SKILL.md:106-107 SKILL.md:107-108 SKILL.md:108-109 SKILL.md:109-110 SKILL.md:110-111 SKILL.md:111-112 SKILL.md:112-113 SKILL.md:113-114 SKILL.md:114-115 SKILL.md:115-121 SKILL.md:121 SKILL.md:123-130 SKILL.md:130-135 SKILL.md:135-137 SKILL.md:137-140 SKILL.md:140-143 SKILL.md:143-147 SKILL.md:147-153 SKILL.md:153-154 SKILL.md:154 SKILL.md:155 SKILL.md:157-165 SKILL.md:165-166 SKILL.md:166-168 SKILL.md:168-172 SKILL.md:172-173 SKILL.md:173-174 SKILL.md:174-175 SKILL.md:175 SKILL.md:177-179 SKILL.md:179-180 SKILL.md:180 SKILL.md:181 SKILL.md:217-218 SKILL.md:218 SKILL.md:219 SKILL.md:222-223 SKILL.md:223 SKILL.md:226-231 SKILL.md:231-232 SKILL.md:232-234 SKILL.md:234
📁 ファイルシステムへのアクセス (13)
🌐 ネットワークアクセス (1)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/larksuite-lark-whiteboard-cli/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/larksuite-lark-whiteboard-cli?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/larksuite-lark-whiteboard-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/larksuite-lark-whiteboard-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/larksuite-lark-whiteboard-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
larksuite. (2026). lark-whiteboard-cli security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/larksuite-lark-whiteboard-cli/audits/4BibTeX形式の引用
@techreport{larksuite-larksuite-lark-whiteboard-cli-2026,
author = {larksuite},
title = {lark-whiteboard-cli security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/larksuite-lark-whiteboard-cli/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "lark-whiteboard-cli security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "larksuite"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/larksuite-lark-whiteboard-cli/audits/4"
identifiers:
- type: other
value: "skillstore:larksuite-lark-whiteboard-cli:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 45
アーキテクチャ
85
保守性
87
コンテンツ
72
コミュニティ
83
仕様準拠
作成できるもの
システムアーキテクチャを文書化
エンジニアリングレビュー向けに、グループ化されたコンポーネント、コネクタ、読みやすいスタイルを備えた階層型サービス図を作成します。
プロダクトワークフローを説明
ビジネスプロセスを、判断、状態、簡潔なラベルを含む明確なフローチャートに変換します。
Lark共同作業用の図を準備
ホワイトボード対応の図を生成し、確認後に必要に応じてLarkドキュメントへアップロードします。
これらのプロンプトを試す
基本的な図を作成
フロントエンド、API、データベース、キャッシュレイヤーを持つWebアプリのシンプルなLarkホワイトボードアーキテクチャ図を作成してください。
Mermaid入力を変換
Mermaidワークフローを使用して、私のシーケンス図をLarkホワイトボードPNGとしてレンダリングしてください。ラベルは短く読みやすくしてください。
構造化された分析図を作成
チェックアウトのパフォーマンス低下に関するフィッシュボーン図を作成してください。原因をフロントエンド、バックエンド、データベース、ネットワーク、サードパーティサービス別にグループ化してください。
安全にレンダリングしてアップロード
詳細なオンボーディングフローチャートを作成してレンダリングし、その後Larkホワイトボードへのアップロードを準備してください。ドライランを実行し、何かを上書きする前に確認してください。
ベストプラクティス
- コマンドを実行する前に、図の種類、対象読者、アップロード先を確認します。
- ノードラベルは短くし、長い説明は近くの注記や凡例に移します。
- 既存のLarkホワイトボードを更新する前に、ドライランの上書き確認を実行します。
回避
- ユーザーの承認なしにnpm install、npx、node scripts、またはlark-cliコマンドを実行しないでください。
- 信頼できないテキストを実行可能なJavaScriptテンプレートに直接貼り付けないでください。
- 削除数とターゲットトークンを確認せずに、既存のホワイトボードを上書きしないでください。
よくある質問
このスキルは何を作成しますか？
Larkホワイトボード図、レンダリング済みPNGファイル、およびLarkドキュメント向けの任意のアップロードワークフローを作成します。
Lark認証は必要ですか？
認証が必要なのは、ドキュメントを取得する場合、または図をLarkホワイトボードにアップロードする場合のみです。
Mermaid図を使用できますか？
はい。マインドマップ、シーケンス図、クラス図、円グラフ、明示的なMermaid入力にはMermaidを使用します。
カスタムレイアウトを作成できますか？
はい。DSLワークフローでは、構造化されたレイアウト、正確な位置、コネクタ、色、場面固有の図作成ルールをサポートします。
どのようなファイルを生成できますか？
図のソースファイル、計算済みレイアウト用のヘルパースクリプト、レンダリング済みPNG画像、Mermaidソースファイルを生成できます。
アップロード前に何を確認すべきですか？
ユーザーは、対象ドキュメント、ホワイトボードトークン、認証ID、およびドライランによる上書き警告を確認する必要があります。