Навыки lark-openapi-explorer
📦
lark-openapi-explorer
v1.0.0 Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе
Исследование конечных точек Lark OpenAPI
Командам часто нужны действия Lark API, которые не обернуты существующими навыками. Этот навык находит официальные сведения о конечных точках и помогает вызывать их через lark-cli.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "lark-openapi-explorer" from https://skillstore.io/skills/larksuite-lark-openapi-explorer.md and its manifest at https://skillstore.io/api/skills/larksuite-lark-openapi-explorer/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «lark-openapi-explorer». Найти, как добавлять пользователей в чат Lark, когда обернутой команды нет.
Ожидаемый результат:
Навык определяет конечную точку участников чата, перечисляет обязательные идентификаторы и разрешения, а также запрашивает подтверждение перед добавлением участников.
Использование «lark-openapi-explorer». Объяснить API для обновления объявления чата на английском.
Ожидаемый результат:
Навык суммирует назначение конечной точки, обязательное значение revision, формат содержимого объявления, разрешения и ожидаемое поведение ответа.
Использование «lark-openapi-explorer». Проверить, может ли существующая команда обработать задачу обмена сообщениями.
Ожидаемый результат:
Навык сначала просматривает доступные команды обмена сообщениями lark-cli, затем использует документацию OpenAPI только если прямой команды нет.
Аудит безопасности
Высокий рискv7 • 09.07.2026 Открыть версионный отчет
Most static backtick detections are Markdown formatting false positives, but several entries describe real lark-cli command workflows. The skill also relies on official Feishu and Lark documentation fetches and contains out-of-package sibling skill references. No prompt-injection attempt was found in SKILL.md.
1
Просканировано файлов
154
Проанализировано строк
15
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Высокий
Authenticated Lark API Mutation Capability
The skill instructs agents to call raw Lark OpenAPI POST, PUT, PATCH, and DELETE operations through lark-cli. Misuse could alter chats, members, announcements, or other tenant resources under the authenticated account.
The file explicitly lists mutating HTTP methods and examples that modify chat members and announcements. Built-in confirmation guidance reduces abuse risk but does not remove the capability.
Пункты проверки возможностей (15)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Path traversal sequence
> **前置条件:** 先阅读 [`../lark-shared/SKILL.md`](../lark-shared/SKILL.md) 了解认证、身份切换和安全规则。
The skill asks the agent to read ../lark-shared/SKILL.md outside this skill directory. That crosses the package boundary even if the intended target is a sibling Lark skill.
Высокий
Path traversal sequence
- [lark-shared](../lark-shared/SKILL.md) — 认证和全局参数
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
Высокий
Path traversal sequence
- [lark-skill-maker](../lark-skill-maker/SKILL.md) — 如需将挖掘到的 API 固化为新 Skill
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
Средний
Ruby/shell backtick execution
当用户的需求**无法被现有 skill 或 CLI 已注册 API 覆盖**时,使用本技能从飞书官方 markdown 文档库中逐层挖掘原生 OpenAPI 接口,然后通过 `lark-cli api
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
Средний
Ruby/shell backtick execution
```bash
The block includes a lark-cli command invocation. It is a read-only help check, but it still depends on executing an external binary.
Средний
Ruby/shell backtick execution
使用 `lark-cli api` 裸调:
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
Средний
Ruby/shell backtick execution
```bash
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
Средний
Ruby/shell backtick execution
5. **调用示例**:给出 `lark-cli api` 的完整命令
The text asks the agent to provide a complete lark-cli api command. This is command generation rather than direct execution, but it supports the authenticated command workflow.
Средний
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
Средний
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
Низкий
Hardcoded URL
| 飞书 (Feishu) | `https://open.feishu.cn/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
Низкий
Hardcoded URL
| Lark | `https://open.larksuite.com/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
Низкий
Hardcoded URL
WebFetch https://open.feishu.cn/llms.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
Низкий
Hardcoded URL
WebFetch https://open.feishu.cn/llms-docs/zh-CN/llms-<module>.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
Низкий
Hardcoded URL
WebFetch https://open.feishu.cn/document/server-docs/.../<api>.md
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
Факторы риска
⚙️ Внешние команды (25)
SKILL.md:12 SKILL.md:14 SKILL.md:20-24 SKILL.md:24-30 SKILL.md:30-31 SKILL.md:31-41 SKILL.md:41-44 SKILL.md:44-52 SKILL.md:52-55 SKILL.md:55-57 SKILL.md:57-58 SKILL.md:58-65 SKILL.md:65-68 SKILL.md:68-74 SKILL.md:74-77 SKILL.md:77-81 SKILL.md:81-83 SKILL.md:83-95 SKILL.md:95-102 SKILL.md:102-105 SKILL.md:105-113 SKILL.md:113-121 SKILL.md:121-133 SKILL.md:133-137 SKILL.md:137-148
🌐 Доступ к сети (5)
📁 Доступ к файловой системе (4)
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/larksuite-lark-openapi-explorer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/larksuite-lark-openapi-explorer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
larksuite. (2026). lark-openapi-explorer security audit report (audit version 7) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7Цитата BibTeX
@techreport{larksuite-larksuite-lark-openapi-explorer-2026,
author = {larksuite},
title = {lark-openapi-explorer security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "lark-openapi-explorer security audit report (audit version 7)"
version: "1.0.0"
type: report
authors:
- name: "larksuite"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7"
identifiers:
- type: other
value: "skillstore:larksuite-lark-openapi-explorer:audit:7"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Высокий 55
Архитектура
100
Сопровождаемость
87
Контент
68
Сообщество
91
Соответствие спецификации
Что вы можете построить
Найти необернутый Chat API
Найти официальную конечную точку для действия с чатом, которое lark-cli не предоставляет напрямую.
Подготовить план API-вызова
Собрать обязательные параметры, scopes и ограничения запроса перед выполнением чувствительной операции Lark.
Перевести документацию API
Преобразовать китайскую документацию Feishu OpenAPI в краткие заметки по реализации на английском.
Попробуйте эти промпты
Найти конечную точку Lark
Найдите официальную конечную точку Lark OpenAPI для этой задачи: [describe task]. Сначала проверьте покрытие существующими возможностями lark-cli.
Суммировать обязательные входные данные
Используйте официальную документацию Feishu, чтобы перечислить метод, путь, обязательные параметры, разрешения и ключевые ошибки для [task].
Подготовить безопасный вызов
Подготовьте вызов lark-cli api для [task]. Запросите подтверждение перед любой операцией записи, обновления или удаления.
Сравнить API-кандидаты
Найдите в документации Lark OpenAPI API, связанные с [workflow]. Сравните кандидатов и порекомендуйте самую безопасную конечную точку.
Лучшие практики
- Начинайте с существующей справки lark-cli, прежде чем исследовать низкоуровневые конечные точки OpenAPI.
- Используйте официальную документацию Feishu или Lark как источник истины для каждого параметра.
- Подтверждайте целевые ресурсы, scopes и ожидаемое воздействие перед выполнением изменяющих вызовов.
Избегать
- Не угадывайте пути API или тела запросов по памяти.
- Не выполняйте операции POST, PUT, PATCH или DELETE без явного подтверждения.
- Не переходите по неофициальным ссылкам на документацию API для поиска конечных точек.
Часто задаваемые вопросы
Какую проблему решает этот навык?
Он помогает находить нативные конечные точки Lark OpenAPI, когда существующие навыки или команды lark-cli не покрывают задачу.
Требуется ли для него lark-cli?
Да. Навык предназначен для вызова конечных точек через lark-cli api после их обнаружения.
Может ли он вносить изменения в рабочее пространство Lark?
Да, если пользователь подтверждает операцию записи и аутентифицированная учетная запись имеет необходимые разрешения.
Какие источники документации он использует?
Он использует официальные индексы документации Feishu и Lark OpenAPI, а также страницы конечных точек.
Могут ли им пользоваться англоязычные пользователи?
Да. Навык предписывает ассистенту при необходимости переводить сведения из китайской документации на английский.
Заменяет ли он официальный анализ API?
Нет. Пользователям все равно следует проверять разрешения, целевые идентификаторы и влияние операции перед выполнением.