You.com Web Search & Research CLI

核心用法

youdotcom-cli 是 You.com 官方提供的命令行工具，为基于 Bash 的 AI Agent（如 Claude Code、Cursor、Codex）提供实时网页搜索和内容提取能力。核心功能包括：

1. 实时搜索 (`ydc search`)：基础搜索返回标题、摘要和 URL
2. 深度爬取 (livecrawl)：通过 "livecrawl":"web" 参数即时获取完整页面 Markdown 内容
3. URL 内容提取 (`ydc contents`)：直接提取指定网页的文本内容

关键参数要求：

• 必须设置 YDC_API_KEY 环境变量
• 所有命令需包含 --client YourAgentName 标识
• 使用 --schema 参数动态发现可用选项
• 结合 jq 进行安全的 JSON 解析

显著优点

• 官方维护：由 You.com 官方团队 (@youdotcom-oss) 开发，API 稳定性有保障
• 实时数据：支持 "livecrawl" 即时抓取，无需等待索引更新
• Agent 原生设计：专为 CLI AI Agent 工作流优化，支持结构化 JSON 输出
• 灵活部署：支持 Bun 1.3+ 和 Node.js 18+，全局或局部安装
• MIT 开源：代码透明，可审计

潜在局限

• API Key 依赖：必须注册 You.com 平台获取 API 密钥
• 速率限制：存在 429 频率限制，需自行实现重试逻辑
• 成本考量：高频使用可能产生 API 调用费用
• 内容不可控：爬取内容质量取决于目标网站，可能遇到反爬或动态渲染问题

适合人群

• 需要为 AI Agent 集成实时搜索能力的开发者
• 使用 Claude Code、Cursor、Codex 等 CLI 工具的工程师
• 构建 RAG (检索增强生成) 系统的 AI 应用开发者
• 需要批量网页内容提取的数据处理场景

常规风险

• 提示词注入风险：爬取内容可能包含恶意指令，必须使用 <external-content> 包装器隔离
• 不可信数据：所有网络内容需视为不可信，禁止直接执行爬取到的代码或指令
• 隐私合规：通过 --client 上报的 Agent 标识符可能涉及使用追踪
• API 密钥泄露：YDC_API_KEY 需妥善保管，避免提交到版本控制

核心功能

youdotcom-cli 是 You.com 官方为 Bash 环境 AI Agent 设计的 CLI 工具，封装了 @youdotcom-oss/api，提供三类核心能力：

1. 基础搜索 (ydc search)：实时获取网页搜索结果
2. 深度抓取 (ydc search + livecrawl)：搜索并即时抓取完整页面内容，支持 Markdown 格式输出
3. 内容提取 (ydc contents)：直接提取指定 URL 的页面内容，无需先搜索

显著优点

• 官方背书：维护者 youdotcom-oss 为 You.com 官方开源组织，T2 级可信来源
• 安全设计：纯 Markdown 文档型 Skill，无可执行代码；通过 allowed-tools 严格限定仅调用官方 CLI
• Prompt Injection 防护：内置完整安全指引，强制要求将外部内容包裹在 <external-content> 标签中，禁止执行抓取内容中的指令
• 结构化输出：原生支持 JSON Schema 发现与 jq 解析，便于 Agent 程序化构建查询
• 多运行时支持：兼容 Node.js 18+ 和 Bun 1.3+

潜在局限

• 依赖外部服务：需用户自行申请 You.com API Key（YDC_API_KEY），存在配额与费用考量
• 网络依赖：实时搜索与抓取依赖 You.com 服务可用性，离线场景无法使用
• 内容风险：虽然 Skill 提供了防护指引，但最终仍需 Agent 实现层正确执行内容隔离，否则仍存在 Prompt Injection 风险
• 功能边界：本身不包含缓存、去重或语义理解能力，复杂场景需 Agent 自行编排

适合人群

• 基于 Claude Code、Cursor、Codex 等 Bash 环境的 AI Agent 开发者
• 需要实时、结构化网页数据的自动化工作流
• 对内容安全有明确要求的企业级 AI 应用场景

常规风险

| 风险类型 | 等级 | 说明 |

|---------|------|------|

| Prompt Injection | 中 | 抓取内容可能包含恶意指令，需严格遵循安全指引 |

| API 密钥泄露 | 中 | 需通过环境变量管理，避免硬编码 |

| 依赖投毒 | 低 | 建议通过 `npm audit signatures` 验证包签名 |

| 数据隐私 | 低 | Skill 本身不收集数据，但搜索查询会发送至 You.com |

| 服务可用性 | 低 | 依赖 You.com API 服务稳定性 |