Навыки xiaohongshu-search

📦

xiaohongshu-search

Name: xiaohongshu-search
Author: um-why

Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения

Поиск рыночных трендов Xiaohongshu

Исследование Xiaohongshu может занимать часы, когда команды вручную просматривают заметки, авторов и сигналы вовлеченности. Этот навык ищет публичные заметки по ключевому слову и возвращает структурированные результаты для более быстрого анализа контента и рынка.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "xiaohongshu-search" from https://skillstore.io/skills/um-why-xiaohongshu-search.md and its manifest at https://skillstore.io/api/skills/um-why-xiaohongshu-search/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/um-why-xiaohongshu-search.md Подписанный manifest GET /api/skills/um-why-xiaohongshu-search/manifest Подписанный lockfile GET /api/skills/um-why-xiaohongshu-search/lockfile

Протестировать

Использование «xiaohongshu-search». Найди "AI tutorial" с 10 комплексными результатами.

Ожидаемый результат:

Ранжированный список результатов с заголовками заметок, временем публикации, ссылками на заметки, именами авторов и показателями вовлеченности.

Использование «xiaohongshu-search». Найди "spring outfits" как image-text notes, отсортированные по лайкам.

Ожидаемый результат:

Сводка Markdown с публичными заметками с наибольшим числом лайков и их видимыми метриками вовлеченности.

Использование «xiaohongshu-search». Найди ключевое слово бренда и сохрани последние результаты.

Ожидаемый результат:

Вывод в консоль плюс локальный файл last-search.json, содержащий самый свежий структурированный набор результатов.

Аудит безопасности

Высокий риск

v5 • 07.07.2026 Открыть версионный отчет

Most shell execution and obfuscation alerts are false positives from JavaScript template literals, ANSI escape codes, Markdown examples, and Chinese text. Confirmed issues are the external API dependency, token handling through environment or default credentials, and persistent local result caching. No prompt injection evidence was found in the reviewed files.

Просканировано файлов

734

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (5)

Высокий

scripts/search.js:119

Environment file access

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The flagged line reads GUAIKEI_API_TOKEN, which is then used in outbound API requests. The pattern is not an environment file read, but it is sensitive credential handling.

Высокий

lib/key.js:18

[HEURISTIC] Very high entropy string (5.59 bits) - likely encoded/encrypted payload

未正确设置 GUAIKEI_API_TOKEN 环境变量, 将使用默认值, 可能影响搜索效率或搜索频率受限, 建议升级为私有TOKEN以获得更好的搜索体验

The surrounding token module returns a bundled default API token when GUAIKEI_API_TOKEN is absent. A shared embedded credential is a real security and abuse risk.

Высокий

lib/key.js:16-20

Bundled Default API Token

The token helper returns a hardcoded default token when GUAIKEI_API_TOKEN is missing. Shared fallback credentials can be abused and make API usage hard to attribute.

The fallback branch directly returns a 32-character token string after warning the user. The behavior is explicit in the token management module.

Высокий

scripts/search.js:119 lib/xiaohongshu.js:141-152 lib/xiaohongshu.js:239-250

API Token Sent In URL Query Parameters

The API token is placed into query parameters for task creation and result lookup. Query strings are often logged by clients, proxies, and services.

The script reads GUAIKEI_API_TOKEN and both request builders include token in querystring parameters. This is direct evidence of credential exposure through URLs.

Средний

scripts/search.js:208-210

Search Results Persisted Locally

The command writes the latest complete result object to scripts/last-search.json. This can retain user keywords, Xiaohongshu links, and returned profile metadata after the command finishes.

The final output object contains keyword, result links, metrics, and metadata, then writeFileSync saves it locally. The code has no opt-out or retention setting.

Пункты проверки возможностей (8)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Средний

lib/xiaohongshu.js:159

HTTP/HTTPS request

const req = https.request(options, (res) => {

The code makes HTTPS requests to the external Guaikei service and includes user keywords and token-derived parameters. This is expected functionality but still transfers data outside the local environment.

Средний

lib/xiaohongshu.js:257

HTTP/HTTPS request

const req = https.request(options, (res) => {

Средний

lib/xiaohongshu.js:159

HTTP client library

const req = https.request(options, (res) => {

Средний

lib/xiaohongshu.js:257

HTTP client library

const req = https.request(options, (res) => {

Средний

scripts/search.js:210

Node.js fs operations

fs.writeFileSync(outputPath, JSON.stringify(finalOutput, null, 2));

The script writes the full final search output to scripts/last-search.json. This can persist user keywords, result links, and returned metadata without a retention control.

Средний

scripts/search.js:210

Synchronous file operations

fs.writeFileSync(outputPath, JSON.stringify(finalOutput, null, 2));

The script writes the full final search output to scripts/last-search.json. This can persist user keywords, result links, and returned metadata without a retention control.

Средний

scripts/search.js:119

Environment variable access (dot notation)

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The command reads GUAIKEI_API_TOKEN from process.env and passes it into external API calls. Accessing a secret-bearing environment variable is security relevant.

Средний

scripts/search.js:119

Environment variable object

const token = key.apiKey(process.env.GUAIKEI_API_TOKEN);

The command reads GUAIKEI_API_TOKEN from process.env and passes it into external API calls. Accessing a secret-bearing environment variable is security relevant.

Факторы риска

⚙️ Внешние команды (58)

🌐 Доступ к сети (9)

lib/xiaohongshu.js:159 lib/xiaohongshu.js:257 lib/xiaohongshu.js:159 lib/xiaohongshu.js:257 lib/xiaohongshu.js:271 lib/xiaohongshu.js:278 package.json:16 package.json:18 package.json:22

📁 Доступ к файловой системе (15)

lib/xiaohongshu.js:84 scripts/search.js:40 scripts/search.js:113 scripts/search.js:117 scripts/search.js:161 scripts/search.js:210 scripts/search.js:39 scripts/search.js:107 scripts/search.js:108 scripts/search.js:160 scripts/search.js:117 scripts/search.js:210 scripts/search.js:3 scripts/search.js:4 scripts/search.js:5

🔑 Переменные окружения (2)

scripts/search.js:119 scripts/search.js:119

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/um-why-xiaohongshu-search/security.svg)](https://skillstore.io/skills/um-why-xiaohongshu-search?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/um-why-xiaohongshu-search?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/um-why-xiaohongshu-search/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/um-why-xiaohongshu-search.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

um-why. (2026). xiaohongshu-search security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5

Цитата BibTeX

@techreport{um-why-um-why-xiaohongshu-search-2026,
  author = {um-why},
  title = {xiaohongshu-search security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xiaohongshu-search security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "um-why"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/um-why-xiaohongshu-search/audits/5"
identifiers:
  - type: other
    value: "skillstore:um-why-xiaohongshu-search:audit:5"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Поиск идей для контента

Ищите тему и просматривайте заметки с высокой вовлеченностью перед планированием новых публикаций в Xiaohongshu.

Мониторинг тем конкурентов

Отслеживайте брендовые или категорийные ключевые слова, чтобы видеть недавние публичные заметки и сигналы вовлеченности.

Создание исследовательских срезов

Собирайте структурированные результаты по ключевым словам для быстрых проверок трендов и планирования кампаний.

Попробуйте эти промпты

Базовый поиск по ключевому слову

Найди в Xiaohongshu "summer skincare" и верни 10 результатов в формате JSON.

Проверка видеотренда

Найди видео Xiaohongshu по запросу "home workout" и отсортируй по самым новым результатам.

Обзор высокой вовлеченности

Найди "camping gear" в Xiaohongshu, верни 20 image-text notes и отсортируй по лайкам.

Срез мониторинга конкурентов

Найди в Xiaohongshu ключевое слово бренда нашего конкурента, верни 30 результатов в Markdown и резюмируй заголовки, ссылки, авторов и паттерны вовлеченности.

Лучшие практики

Используйте приватный GUAIKEI_API_TOKEN и ротируйте его, если логи могут раскрывать строки запросов.
Делайте ключевые слова конкретными и длиной от 2 до 50 символов для более чистых результатов.
Удаляйте last-search.json, когда результаты поиска не должны оставаться на диске.

Избегать

Не ищите приватные, чувствительные или персонально идентифицирующие термины без обоснованной бизнес-причины.
Не считайте возвращаемые показатели вовлеченности проверенной аналитикой без мошеннической активности.
Не публикуйте результаты без проверки условий платформы Xiaohongshu и правил использования данных.