Навыки Microsoft Graph API
📦

Microsoft Graph API

v0.3.0 Ревизия содержимого r1 Высокий риск 🌐 Доступ к сети⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения

Управление почтой и календарем Outlook

Задачи с почтой и календарем Microsoft 365 часто требуют аутентифицированных вызовов Graph API. Этот навык предоставляет скрипты для чтения сообщений, отправки почты, вывода списка событий и создания записей в календаре.

Поддерживает: Claude Codex Code(CC)
⚠️ 38 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента
Review the Skillstore skill "Microsoft Graph API" from https://skillstore.io/skills/bltgv-microsoft-graph-api.md and its manifest at https://skillstore.io/api/skills/bltgv-microsoft-graph-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/bltgv-microsoft-graph-api.md Подписанный manifest GET /api/skills/bltgv-microsoft-graph-api/manifest Подписанный lockfile GET /api/skills/bltgv-microsoft-graph-api/lockfile

Протестировать

Использование «Microsoft Graph API». Покажи мои непрочитанные сообщения во входящих.

Ожидаемый результат:

Краткий список непрочитанных сообщений с отправителем, темой, временем получения, статусом прочтения и предпросмотром текста.

Использование «Microsoft Graph API». Какие встречи у меня на этой неделе?

Ожидаемый результат:

Хронологическая повестка с названиями событий, временем начала и окончания, местами, организаторами и статусом участников, если доступно.

Использование «Microsoft Graph API». Отправь последующее письмо команде проекта.

Ожидаемый результат:

Запрос подтверждения с получателями, темой и текстом сообщения перед отправкой письма.

Аудит безопасности

Высокий риск
v9 • 19.07.2026 Открыть версионный отчет

Most static alerts are false positives caused by TypeScript template literals, Markdown backticks, example identifiers, and official Microsoft URLs. Confirmed risks include OAuth network operations, immediate email sending, and plaintext credential storage. Semantic review also found weak secret-file permissions, indirect prompt-injection exposure, and unconfirmed calendar creation.

11
Просканировано файлов
2,369
Проанализировано строк
9
Пункты проверки
0
Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (4)

Высокий
scripts/lib/credentials.ts:7
Credential JSON file
const CREDENTIALS_FILE = join(CONFIG_DIR, "credentials.json");
This path is used to persist Microsoft Graph access and refresh tokens as plaintext JSON. Disclosure of the file can grant delegated mailbox and calendar access.
Высокий
scripts/lib/credentials.ts:22-24scripts/lib/pending-auth.ts:51-53
OAuth Secret Files Lack Restrictive Permissions
Credential and pending-auth files contain tokens or device codes. The write operations do not set restrictive modes, so other local users may read them.
Both functions write sensitive JSON with writeFile and no mode option. Default permissions depend on umask and can permit local disclosure.
Высокий
scripts/emails.ts:222-238scripts/calendar.ts:210-224
Indirect Prompt Injection Exposure
Email bodies and calendar text are returned directly to the agent. Malicious content may influence later email or calendar actions without an untrusted-data boundary.
The scripts return externally controlled message bodies and event fields verbatim. The skill instructions provide no rule to treat retrieved content only as data.
Средний
scripts/calendar.ts:335-400SKILL.md:148-169
Calendar Creation Has No Confirmation Gate
The create command posts events and attendee invitations immediately. The skill does not require a final user review of subject, time, or recipients.
The create branch validates required fields and posts immediately. The usage instructions show direct create commands without a confirmation step.
Пункты проверки возможностей (9)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий
scripts/emails.ts:325
Email sending capability
await graphPost(token, "/me/sendMail", { message });
This call sends a message through the authenticated mailbox immediately. The script has no recipient preview or explicit confirmation gate before the external side effect.
Низкий
scripts/calendar.ts:125
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Низкий
scripts/calendar.ts:143
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Низкий
scripts/emails.ts:122
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Низкий
scripts/emails.ts:140
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Низкий
scripts/lib/device-code.ts:45
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Низкий
scripts/lib/device-code.ts:87
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Низкий
scripts/lib/device-code.ts:152
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Низкий
scripts/lib/graph-client.ts:155
Fetch API call
const response = await fetch(`https://graph.microsoft.com/v1.0${endpoint}`, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.

Факторы риска

🌐 Доступ к сети (25)
references/graph-api.md:241 scripts/auth.ts:77 scripts/auth.ts:83 scripts/auth.ts:171 scripts/calendar.ts:125 scripts/calendar.ts:143 scripts/calendar.ts:123 scripts/calendar.ts:141 scripts/emails.ts:122 scripts/emails.ts:140 scripts/emails.ts:120 scripts/emails.ts:138 scripts/emails.ts:325 scripts/lib/device-code.ts:45 scripts/lib/device-code.ts:87 scripts/lib/device-code.ts:152 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:78 scripts/lib/device-code.ts:142 scripts/lib/graph-client.ts:155 scripts/lib/graph-client.ts:62 scripts/lib/graph-client.ts:155 SKILL.md:33 SKILL.md:42 SKILL.md:55
⚙️ Внешние команды (50)
scripts/auth.ts:57-104 scripts/auth.ts:120 scripts/auth.ts:121 scripts/auth.ts:122 scripts/auth.ts:124 scripts/auth.ts:127 scripts/auth.ts:129 scripts/auth.ts:140 scripts/auth.ts:142 scripts/auth.ts:155 scripts/auth.ts:156 scripts/auth.ts:158 scripts/auth.ts:160 scripts/auth.ts:163 scripts/auth.ts:165 scripts/auth.ts:171 scripts/auth.ts:178 scripts/auth.ts:179 scripts/auth.ts:180 scripts/auth.ts:181 scripts/auth.ts:199 scripts/auth.ts:200 scripts/auth.ts:201 scripts/calendar.ts:66-113 scripts/calendar.ts:123 scripts/calendar.ts:127 scripts/calendar.ts:134 scripts/calendar.ts:141 scripts/calendar.ts:146 scripts/calendar.ts:154 scripts/calendar.ts:287 scripts/calendar.ts:305 scripts/calendar.ts:325 scripts/calendar.ts:410 scripts/emails.ts:65-110 scripts/emails.ts:120 scripts/emails.ts:124 scripts/emails.ts:131 scripts/emails.ts:138 scripts/emails.ts:143 scripts/emails.ts:151 scripts/emails.ts:198 scripts/emails.ts:224 scripts/emails.ts:252 scripts/emails.ts:273 scripts/emails.ts:339 scripts/lib/auth-handler.ts:66-79 scripts/lib/auth-handler.ts:79-194 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:55
📁 Доступ к файловой системе (3)
scripts/lib/graph-client.ts:116 SKILL.md:210 SKILL.md:210
🔑 Переменные окружения (2)
scripts/lib/graph-client.ts:105 scripts/lib/graph-client.ts:105
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет
Оценка безопасности

Копировать ссылку на отчёт

https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg)](https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/bltgv-microsoft-graph-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Академические ссылки (APA · BibTeX · CFF)

Цитата APA

BLTGV. (2026). Microsoft Graph API security audit report (audit version 9) [Author version 0.3.0]. Skillstore. https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9

Цитата BibTeX

@techreport{bltgv-bltgv-microsoft-graph-api-2026, author = {BLTGV}, title = {Microsoft Graph API security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9}, note = {Author version 0.3.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "Microsoft Graph API security audit report (audit version 9)" version: "0.3.0" type: report authors: - name: "BLTGV" date-released: "2026-07-19" url: "https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9" identifiers: - type: other value: "skillstore:bltgv-microsoft-graph-api:audit:9" description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний
64
Архитектура
100
Сопровождаемость
87
Контент
71
Сообщество
74
Соответствие спецификации

Что вы можете построить

Просмотр недавней почты

Суммируйте недавние сообщения Outlook, ищите важных отправителей и открывайте содержимое конкретных писем при необходимости.

Управление ежедневным расписанием

Проверяйте события календаря Microsoft 365 за сегодня, эту неделю или пользовательский диапазон дат.

Автоматизация рабочих процессов Graph

Используйте аутентифицированные скрипты для отправки сообщений или создания встреч из агентного рабочего процесса.

Попробуйте эти промпты

Показать недавние письма во входящих 
Покажи мои 10 самых последних сообщений во входящих Outlook с отправителем, темой, временем получения и коротким предпросмотром.
Найти сообщения по теме 
Найди в моей почте Outlook сообщения о [topic] за последнюю неделю. Кратко опиши найденные темы и отправителей.
Запланировать событие в календаре 
Создай событие календаря для [meeting name] на [date and time] с [attendees]. Подтверди со мной все детали перед созданием.
Скоординировать почту и календарь 
Найди письма от [person] о [project], определи предложенное время встреч и подготовь черновик события календаря для моего одобрения.

Лучшие практики

  • Подтверждайте получателя, тему и текст письма с пользователем перед отправкой электронной почты.
  • Используйте отдельные профили для рабочих и личных учетных записей.
  • Запрашивайте минимально необходимый диапазон данных при чтении сообщений или событий.

Избегать

  • Не отправляйте электронные письма и не создавайте события без явного одобрения пользователя.
  • Не запрашивайте широкий набор данных почтового ящика, когда достаточно конкретного поиска.
  • Не храните токены общих или сервисных учетных записей в пользовательском профиле.

Часто задаваемые вопросы

К каким сервисам Microsoft обращается этот навык?
Он получает доступ к почте Outlook и данным календаря Microsoft 365 через Microsoft Graph.
Требуется ли аутентификация?
Да. Он использует аутентификацию Microsoft по коду устройства и хранит полученный токен локально.
Может ли он отправлять электронную почту?
Да. Он может отправлять электронную почту, когда учетная запись, в которую выполнен вход, предоставляет разрешение Mail.Send.
Может ли он создавать события календаря?
Да. Он может создавать события, когда учетная запись, в которую выполнен вход, предоставляет разрешения на запись в календарь.
Где хранятся учетные данные?
Скрипты хранят учетные данные OAuth в JSON-файле в каталоге пользовательской конфигурации.
Обрабатывает ли он большие наборы результатов автоматически?
Нет. Он ограничивает результаты значениями top и не реализует полную пагинацию.

Сведения для разработчиков

Автор

BLTGV

Лицензия

MIT

Версия автора

v0.3.0

Ревизия Skillstore

r1

Репозиторий

https://github.com/BLTGV/agent-skills/tree/master/skills/microsoft-graph

Ссылка

1b5b6c4962b2ad5a7a34603cab2685bbbd1b61ef

Актуальность поддержки

22.07.2026

Использование

18 загрузок · 246 просмотров

Структура файлов

📁 references/

📄 graph-api.md

📁 scripts/

📄 auth.ts

📄 calendar.ts

📄 emails.ts

📁 lib/

📄 auth-handler.ts

📄 credentials.ts

📄 device-code.ts

📄 graph-client.ts

📄 pending-auth.ts

📄 types.ts

📄 SKILL.md

Больше от BLTGV

Показать все
📦

Notion API

38

Управление рабочими пространствами Notion через API

Работа с Notion через чат идет медленно, когда данные находятся на страницах, в базах данных и блоках. Этот навык позволяет Claude, Codex или Claude Code искать, читать, создавать и обновлять контент Notion через официальный API.

Продуктивность Просмотр

Связанные навыки

Показать все
📦

outlook-automation

38

Автоматизируйте Outlook с Rube MCP

от sickn33

Рабочие процессы Outlook могут занимать много времени, когда пользователям приходится вручную искать, сортировать и просматривать элементы. Этот навык помогает Claude, Codex и Claude Code работать с инструментами Rube MCP Outlook.

Офис и отчёты Просмотр
📦

find-outlook-emails

50

Поиск писем Outlook с контекстом контактов

от Whitefield-Labs

Поиск конкретного письма Outlook может быть медленным, когда история отношений хранится в другом месте. Этот skill выполняет поиск в Outlook через Rarefriend и связывает результаты с заметками о контактах и контекстом CRM.

Офис и отчёты Просмотр
📦

schedule-with-outlook

38

Планирование встреч Outlook с Rarefriend

от Whitefield-Labs

Планирование с учетом контактов и календарей Outlook может требовать множества ручных поисков. Этот навык помогает Claude, Codex и Claude Code работать с процессами Rarefriend MCP для контактов, доступности, событий и заметок.

Офис и отчёты Просмотр
📦

rarefriend-skills

69

Управление подключениями Rarefriend CRM

от Whitefield-Labs

Контекст отношений часто распределен между контактами, календарями, электронной почтой и заметками. Этот навык позволяет Claude, Codex и другим агентам использовать Rarefriend MCP для поиска, организации и действий с этим контекстом.

Продуктивность Просмотр