Навыки media-downloader
📦

media-downloader

Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения

Скачивание и обрезка медиаассетов

Поиск пригодных изображений и клипов в разных медиаисточниках занимает время и требует ручной очистки. Этот skill ищет материалы у одобренных провайдеров, скачивает ассеты и обрезает видео в рамках одного рабочего процесса.

Поддерживает: Claude Codex Code(CC)
⚠️ 38 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента
Review the Skillstore skill "media-downloader" from https://skillstore.io/skills/yizhiyanhua-ai-media-downloader.md and its manifest at https://skillstore.io/api/skills/yizhiyanhua-ai-media-downloader/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/yizhiyanhua-ai-media-downloader.md Подписанный manifest GET /api/skills/yizhiyanhua-ai-media-downloader/manifest Подписанный lockfile GET /api/skills/yizhiyanhua-ai-media-downloader/lockfile

Протестировать

Использование «media-downloader». Скачай 5 фотографий котов.

Ожидаемый результат:

Skill ищет подходящие фотографии у настроенных провайдеров изображений, скачивает их и сообщает путь к папке сохранения.

Использование «media-downloader». Скачай 30-секундное видео ночного города.

Ожидаемый результат:

Skill находит результаты среди стоковых видео, скачивает подходящий клип, при необходимости обрезает его и перечисляет итоговое расположение файла.

Использование «media-downloader». Проверь статус media downloader.

Ожидаемый результат:

Skill сообщает, доступны ли API-ключи, requests, yt-dlp и ffmpeg.

Аудит безопасности

Высокий риск
v5 • 08.07.2026 Открыть версионный отчет

The skill performs the advertised media search, download, and trimming workflow, but it uses external services, yt-dlp, ffmpeg, environment API keys, and local file writes. Several static alerts are documentation or placeholder false positives, while user-controlled filenames, unbounded downloads, and broad video download support remain real risks. No prompt injection attempt was found in the reviewed files.

4
Просканировано файлов
1,382
Проанализировано строк
38
Пункты проверки
0
Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (3)

Высокий
media_cli.py:436-442media_cli.py:481-485
Unsanitized Query Text Used In Filenames
Image and video filenames are built from the user search query without removing path separators. A crafted query could write downloaded content outside the intended output folder.
The filename is derived directly from args.query and joined with output_dir before writing downloaded bytes. The reviewed code does not normalize or constrain the final path.
Средний
media_cli.py:139-143media_cli.py:281-285
Unbounded Streaming Downloads To Disk
The download loops stream response bodies to disk without checking Content-Length, content type, or a maximum byte limit. Large responses can exhaust disk space.
Both image and video download functions write chunks until the server finishes. I found no size cap or MIME validation in the reviewed code paths.
Средний
SKILL.md:132-138media_cli.py:686-692
Unrestricted Third-Party Video Download Workflow
The skill explicitly supports downloading and extracting audio from YouTube URLs. This can enable copyright or terms-of-service abuse if used without rights checks.
The documentation advertises YouTube download and audio-only workflows, and the CLI exposes matching options. The code does not include license or authorization checks.
Пункты проверки возможностей (38)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий
media_cli.py:249
Python subprocess.run
result = subprocess.run(cmd, capture_output=True, text=True, timeout=30)
yt-dlp is invoked with a user-provided search query. There is no shell expansion, but an external downloader processes network content based on user input.
Высокий
media_cli.py:316
Python subprocess.run
result = subprocess.run(cmd, capture_output=True, text=True, timeout=300)
yt-dlp is invoked with a user-provided URL and writes downloaded media locally. The command is argument-vector based, but it still gives an external downloader broad network and file effects.
Высокий
media_cli.py:354
Python subprocess.run
result = subprocess.run(cmd, capture_output=True, text=True)
ffprobe is invoked on a user-selected media path. There is no shell injection, but external media parsers process untrusted or downloaded files.
Высокий
media_cli.py:387
Python subprocess.run
result = subprocess.run(cmd, capture_output=True, timeout=120)
ffmpeg is invoked on user-selected input and output paths. There is no shell invocation, but transcoding untrusted media through an external binary is a real execution risk.
Высокий
media_cli.py:32
Generic API/secret keys
PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')
The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.
Высокий
media_cli.py:34
Generic API/secret keys
PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')
The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.
Высокий
media_cli.py:49
Generic API/secret keys
headers = {"Authorization": PEXELS_API_KEY}
The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.
Высокий
media_cli.py:100
Generic API/secret keys
url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_
The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.
Высокий
media_cli.py:180
Generic API/secret keys
headers = {"Authorization": PEXELS_API_KEY}
The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.
Высокий
media_cli.py:210
Generic API/secret keys
url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}
The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.
Высокий
README_CN.md:130
Hidden file in home directory
~/.claude/skills/media-downloader/downloads/
The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.
Высокий
README.md:130
Hidden file in home directory
~/.claude/skills/media-downloader/downloads/
The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.
Высокий
SKILL.md:93
Hidden file in home directory
**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:
The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.
Высокий
SKILL.md:102
Hidden file in home directory
保存后运行 `source ~/.zshrc` 使配置生效。
The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.
Высокий
SKILL.md:147
Hidden file in home directory
~/.claude/skills/media-downloader/downloads/
The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.
Средний
media_cli.py:100
Hardcoded URL
url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_
The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.
Средний
media_cli.py:210
Hardcoded URL
url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}
The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.
Средний
media_cli.py:141
Python file write/append
with open(filepath, 'wb') as f:
The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.
Средний
media_cli.py:283
Python file write/append
with open(filepath, 'wb') as f:
The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.
Средний
media_cli.py:400
Python shutil operations
shutil.copy(input_path, output_path)
The code copies a media file to a caller-provided output path during trimming. Without containment checks, this can write to unexpected locations.
Средний
media_cli.py:135
Python os file operations
os.makedirs(output_dir, exist_ok=True)
The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.
Средний
media_cli.py:277
Python os file operations
os.makedirs(output_dir, exist_ok=True)
The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.
Средний
media_cli.py:299
Python os file operations
os.makedirs(output_dir, exist_ok=True)
The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.
Средний
media_cli.py:494
Python os file operations
os.remove(path)
The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.
Средний
media_cli.py:495
Python os file operations
os.rename(trimmed_path, path)
The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.
Средний
media_cli.py:534
Python os file operations
os.remove(path)
The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.
Средний
media_cli.py:535
Python os file operations
os.rename(trimmed_path, path)
The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.
Средний
README_CN.md:130
Hidden file access
~/.claude/skills/media-downloader/downloads/
The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.
Средний
README.md:130
Hidden file access
~/.claude/skills/media-downloader/downloads/
The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.
Средний
SKILL.md:93
Hidden file access
**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:
The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.
Средний
SKILL.md:102
Hidden file access
保存后运行 `source ~/.zshrc` 使配置生效。
The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.
Средний
SKILL.md:147
Hidden file access
~/.claude/skills/media-downloader/downloads/
The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.
Низкий
media_cli.py:48
Hardcoded URL
url = f"https://api.pexels.com/v1/search?query={quote_plus(query)}&per_page={count}"
The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.
Низкий
media_cli.py:74
Hardcoded URL
url = f"https://api.unsplash.com/search/photos?query={quote_plus(query)}&per_page={count}"
The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.
Низкий
media_cli.py:179
Hardcoded URL
url = f"https://api.pexels.com/videos/search?query={quote_plus(query)}&per_page={count}"
The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.
Низкий
media_cli.py:32
Python environment access
PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')
The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.
Низкий
media_cli.py:33
Python environment access
UNSPLASH_ACCESS_KEY = os.environ.get('UNSPLASH_ACCESS_KEY', '')
The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.
Низкий
media_cli.py:34
Python environment access
PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')
The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

Факторы риска

⚙️ Внешние команды (29)
media_cli.py:161 media_cli.py:169 media_cli.py:249 media_cli.py:316 media_cli.py:337 media_cli.py:354 media_cli.py:387 SKILL.md:45-47 SKILL.md:47-51 SKILL.md:51-57 SKILL.md:57-93 SKILL.md:93 SKILL.md:95-100 SKILL.md:100-102 SKILL.md:102-106 SKILL.md:106-108 SKILL.md:108-118 SKILL.md:118-122 SKILL.md:122-126 SKILL.md:126-130 SKILL.md:130-134 SKILL.md:134-138 SKILL.md:138-146 SKILL.md:146-148 SKILL.md:148-155 SKILL.md:155-158 SKILL.md:158-161 SKILL.md:161-172 SKILL.md:172-190
🌐 Доступ к сети (16)
media_cli.py:41 media_cli.py:154 media_cli.py:48 media_cli.py:74 media_cli.py:100 media_cli.py:179 media_cli.py:210 media_cli.py:257 README_CN.md:110 README.md:110 SKILL.md:69 SKILL.md:71 SKILL.md:77 SKILL.md:79 SKILL.md:84 SKILL.md:135
📁 Доступ к файловой системе (26)
media_cli.py:141 media_cli.py:283 media_cli.py:400 media_cli.py:28 media_cli.py:29 media_cli.py:135 media_cli.py:277 media_cli.py:299 media_cli.py:494 media_cli.py:495 media_cli.py:534 media_cli.py:535 README_CN.md:130 README_CN.md:130 README.md:130 README.md:130 SKILL.md:46 SKILL.md:93 SKILL.md:102 SKILL.md:107 SKILL.md:147 SKILL.md:46 SKILL.md:93 SKILL.md:102 SKILL.md:107 SKILL.md:147
🔑 Переменные окружения (24)
media_cli.py:32 media_cli.py:33 media_cli.py:34 media_cli.py:32 media_cli.py:34 media_cli.py:45 media_cli.py:49 media_cli.py:97 media_cli.py:100 media_cli.py:176 media_cli.py:180 media_cli.py:207 media_cli.py:210 media_cli.py:425 media_cli.py:427 media_cli.py:623 media_cli.py:625 media_cli.py:646 media_cli.py:647 media_cli.py:657 media_cli.py:660 media_cli.py:662 SKILL.md:97 SKILL.md:98
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет
Оценка безопасности

Копировать ссылку на отчёт

https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg)](https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/yizhiyanhua-ai-media-downloader.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Академические ссылки (APA · BibTeX · CFF)

Цитата APA

yizhiyanhua-ai. (2026). media-downloader security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5

Цитата BibTeX

@techreport{yizhiyanhua-ai-yizhiyanhua-ai-media-downloader-2026, author = {yizhiyanhua-ai}, title = {media-downloader security audit report (audit version 5)}, institution = {Skillstore}, year = {2026}, number = {5}, url = {https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "media-downloader security audit report (audit version 5)" version: "unspecified" type: report authors: - name: "yizhiyanhua-ai" date-released: "2026-07-08" url: "https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5" identifiers: - type: other value: "skillstore:yizhiyanhua-ai-media-downloader:audit:5" description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний
55
Архитектура
85
Сопровождаемость
85
Контент
72
Сообщество
83
Соответствие спецификации

Что вы можете построить

Сбор концептуальных изображений

Найдите и скачайте референсные изображения для дизайн-борда или креативного брифа.

Подготовка коротких фоновых клипов

Скачайте стоковые клипы и обрежьте их до фиксированной длительности для презентаций или публикаций в соцсетях.

Извлечение фрагментов для ревью

Скачайте конкретный фрагмент из видео YouTube для частного просмотра или заметок по монтажу.

Попробуйте эти промпты

Скачать базовые изображения 
Скачай 5 пейзажных изображений и сохрани их в папку media downloader по умолчанию.
Найти короткое стоковое видео 
Найди 3 видеоклипа с океанскими волнами длительностью менее 20 секунд и скачай их для просмотра.
Обрезать фрагмент YouTube 
Скачай это видео YouTube с 90-й по 120-ю секунду и сохрани только этот клип.
Собрать медиапакет 
Создай проектный медиапакет с 8 фотографиями кофейни и 2 короткими атмосферными клипами длительностью менее 15 секунд.

Лучшие практики

  • Задавайте API-ключи только в доверенных локальных переменных окружения.
  • Используйте отдельную папку вывода для каждого проекта.
  • Проверяйте лицензии провайдеров перед публикацией скачанных медиа.

Избегать

  • Не скачивайте медиа с URL-адресов, которым вы не доверяете.
  • Не используйте разделители путей или shell-синтаксис в поисковых запросах.
  • Не предполагайте, что каждый результат YouTube или стокового поиска лицензирован для вашего использования.

Часто задаваемые вопросы

Нужны ли этому skill API-ключи?
Да, для поиска стоковых изображений и видео. Скачивание с YouTube использует yt-dlp и не требует этих API-ключей.
Куда сохраняются скачанные файлы?
По умолчанию файлы сохраняются в папку downloads этого skill. Пользователи могут выбрать другую директорию вывода.
Может ли он обрезать видео?
Да. Он использует ffmpeg для обрезки по времени начала, времени окончания или целевой длительности.
Безопасно ли публиковать скачанные ассеты?
Перед публикацией вы должны проверить лицензию источника и права использования для каждого ассета.
Почему этот skill помечен как средний риск?
Он использует сетевые запросы, API-ключи, запись локальных файлов и внешние медиаинструменты. Это ожидаемые, но чувствительные операции.
Отправляет ли он мои API-ключи на неизвестные серверы?
Не найдено доказательств неизвестной эксфильтрации. Ключи используются для заявленных запросов к Pexels, Pixabay и Unsplash.

Сведения для разработчиков

Автор

yizhiyanhua-ai

Лицензия

MIT

Ревизия Skillstore

r1

Примечание о версии

Автор не указал версию.

Репозиторий

https://github.com/yizhiyanhua-ai/media-downloader/tree/main/

Ссылка

64ca8af0f54a325752f08bd54e52151061ea659a

Актуальность поддержки

22.07.2026

Использование

56 загрузок · 322 просмотров

Структура файлов

📄 media_cli.py

📄 README_CN.md

📄 README.md

📄 SKILL.md

Больше от yizhiyanhua-ai

Показать все

Связанные навыки

Показать все
📦

video-downloader

69

Скачивание видео для офлайн-доступа

от DYAI2025

Онлайн-видео бывает сложно пересматривать при нестабильном подключении или изменении контента. Этот навык помогает с разрешенными скачиваниями, выбором качества, извлечением аудио, плейлистами и организацией сохраненных файлов.

Продуктивность Просмотр
📦

video-processor

75

Обработка видео, аудио и транскриптов

от EGAdams

Для конвертации видео и транскрибирования часто требуется несколько инструментов командной строки. Этот навык предоставляет единый CLI-процесс для извлечения аудио, конвертации форматов и создания транскриптов Whisper.

Данные и аналитика Просмотр
📦

ponyflash

78

Создание и редактирование AI-медиа с PonyFlash

от ponyflash

Работа с AI-медиа часто распределена между отдельными инструментами для генерации, редактирования и субтитров. PonyFlash объединяет руководство по SDK с рабочими процессами FFmpeg для изображений, видео, речи, музыки и экспорта.

Дизайн и креатив Просмотр