George Banking Automation

核心用法

George 技能是一个针对奥地利 Erste Bank 和 Sparkasse 网上银行系统的自动化工具，基于 Playwright 浏览器自动化框架开发。用户可通过命令行完成登录/登出、获取账户列表（支持支票账户、储蓄账户、投资 depot）以及导出指定日期范围的交易记录，输出为 JSON 格式便于后续自动化处理。

显著优点

• 全账户覆盖：支持 checking、savings、depot 等多种账户类型的余额和持仓查询
• JSON 输出：结构化数据便于集成到个人财务管理系统
• 会话持久化：支持登录状态保存，避免频繁重复认证
• 权限管控：对会话目录应用 700 目录权限和 600 文件权限，降低敏感信息泄露风险

潜在缺点与局限性

• 强依赖 2FA：每次登录需人工在 George iPhone App 中确认授权码，无法完全无人值守
• Playwright 依赖：需要本地安装 Python3 和 Playwright 浏览器环境，部署门槛较高
• 区域限制：仅支持奥地利 Erste Bank/Sparkasse 体系，不具备通用银行适配能力
• brittle 风险：网银界面更新可能导致自动化脚本失效

适合人群

• 奥地利 Erste Bank/Sparkasse 的个人用户
• 需要自动化获取银行账户数据的技术型用户
• 希望将银行数据导入自建财务系统的开发者

常规风险

• 凭据安全：虽然应用了 umask 和 chmod 权限控制，但会话 token 仍以明文形式存储于本地文件系统
• 合规风险：自动化访问可能违反银行服务条款，存在账户限制风险
• 依赖维护：Playwright 和浏览器版本需要持续同步更新

核心用法

George Banking Automation 是一款针对奥地利 Erste Bank / Sparkasse Austria 网银系统的自动化工具。用户可通过命令行执行登录、登出、查询账户列表及获取交易记录等操作。所有数据以 JSON 格式输出，便于后续自动化处理。

主要命令：

• login：启动 Playwright 浏览器自动化流程，在终端显示确认码，需用户在手机 George App 中完成 2FA 授权
• logout：清除本地会话状态
• accounts：列出所有账户类型（活期、储蓄、证券持仓等）
• transactions：按日期范围导出指定账户的交易明细

显著优点

1. 安全实践到位：代码主动设置 umask 0o077，状态目录与 Token 文件分别强制设为 700 与 600 权限，符合最小权限原则
2. 日志脱敏：内置 _safe_url_for_logs() 自动剔除 URL 中的 access_token、id_token 等敏感字段
3. 路径安全：提供 _safe_download_filename() 与 _safe_filename_component() 防止路径遍历攻击
4. 依赖精简：仅依赖 Python 标准库与 Playwright，无冗余第三方包
5. 来源可追溯：作者 odrobnik GitHub 账号活跃 15 年以上，历史公开仓库 51 个，社区信誉良好

潜在缺点与局限性

• 2FA 依赖手机 App：每次登录均需人工确认，无法完全无人值守
• Token 明文存储：Bearer Token 以 JSON 明文缓存在本地，虽设权限但未加密
• subprocess 风险：setup 流程通过 subprocess 调用 pip 与 playwright 安装依赖，存在被劫持可能
• 环境变量依赖：需配置 GEORGE_USER_ID 等敏感信息，在共享环境有泄露风险
• 区域限制：仅支持 Sparkasse Austria 体系，其他银行无法使用

适合人群

• 需要定期导出银行交易数据进行个人财务分析的技术用户
• 熟悉命令行操作、能安全保管本地凭证的奥地利 Sparkasse 客户
• 开发者希望将银行数据集成至自建记账或投资跟踪系统

常规风险

• 虽然所有网络请求均指向官方 API（api.sparkasse.at、george.sparkasse.at），但浏览器自动化本身属于敏感操作
• Token 文件若被恶意程序读取，可导致账户临时失窃
• Playwright 的 Chromium 实例若配置不当，可能存在浏览器隔离漏洞

安全认证结论

CLS-Certify v2.1.0 综合评分 55 分，等级 B。静态分析通过，动态行为与隐私合规存在警告项，但整体风险可控。建议用户仅在受信任的单用户环境运行，并定期检查状态目录权限。