掘金技能集

核心功能与用法

Juejin Skills 是面向掘金（juejin.cn）技术社区的一站式自动化工具，提供三大核心能力：热门文章排行榜查询、Markdown文章发布（默认草稿模式）、文章下载备份。用户可通过自然语言指令触发，如"获取前端热门文章""将 ./article.md 发布到掘金"或"下载指定链接文章"。

显著优点

1. 多层安全防护：采用"默认草稿+双重确认"机制，公开发布需同时设置 save_draft_only=False 和 allow_public_publish=True，CLI层还需环境变量与交互确认三重保险；批量下载硬上限50篇，需显式确认。

2. 严格的权限边界：网络限死在 juejin.cn 域名；文件读取仅限当前目录下的 .md 文件（≤2MiB），敏感路径黑名单防护；文件写入仅限 ./output 目录，通过 realpath 解析防御符号链接与路径逃逸。

3. Session 隔离管理：Cookie 以 0600 权限存储于 ~/.juejin_cookie.json，支持随时撤销，仓库已默认排除，避免共享环境风险。

潜在局限

• 依赖 Playwright 登录：首次使用需本地浏览器交互，无法纯自动化；Cookie 过期需重新登录。
• 功能聚焦较窄：仅限掘金平台，不支持其他技术社区；发布功能对文章格式有一定要求。
• 批量操作受限：硬上限 50 篇的设计虽安全，但大规模备份场景需多次触发。

适合人群

技术博主、开发者运营人员、需要定期备份掘金文章的内容创作者，以及希望自动化草稿发布流程的前端/全栈工程师。

常规风险

Cookie 泄露可导致账号被冒用；建议在可信个人设备运行，使用后立即执行 rm ~/.juejin_cookie.json 撤销凭证。避免在 CI/共享容器中使用。

核心用法

Juejin Skills 是面向掘金技术社区（juejin.cn）的自动化操作工具，提供三类核心功能：

1. 热门文章排行榜查询（只读）：获取分类列表、热门文章排行、趋势分析，支持按分类/时间维度筛选
2. Markdown 文章发布（需登录态）：通过 Playwright 浏览器登录获取 Cookie，将本地 Markdown 文件发布为草稿（默认），公开发布需多重确认
3. 文章下载（写操作）：单篇或批量下载掘金文章为 Markdown 格式，保留元数据，图片可选本地化

激活条件（严格字面匹配）

• 必须字面出现「掘金」或 juejin.cn
• 动作限定为：查询热门列表、发布.md草稿、下载已知URL
• 写操作需用户提供具体参数（文件路径、文章URL等），AI不得自行编造

安全机制亮点

• 文件读写边界：读取仅接受当前工作目录下 ≤2MiB 的 .md 文件；写入限制在 ./output 目录，经 os.path.realpath 解析防路径遍历
• 公开发布三重确认：save_draft_only=False + allow_public_publish=True + 环境变量/交互式确认
• 批量下载硬上限：默认20篇，最大50篇，需显式 confirm_bulk=True
• Cookie 权限控制：保存至 ~/.juejin_cookie.json，权限 0600（仅所有者读写）
• 网络白名单：仅访问 juejin.cn / api.juejin.cn，图片下载限定官方图床域名

---

显著优点

1. 功能-行为一致性优秀：声明功能与实际代码完全匹配，无隐藏行为
2. 安全边界设计完善：输入验证、路径解析、权限控制层层设防，有效防御路径遍历、SSRF 等攻击
3. 默认安全策略：草稿优先、批量需确认、Cookie 权限最小化，降低误操作风险
4. 合规性良好：通过 GDPR 数据最小化、明示同意、访问权限控制等合规检查
5. 代码透明可审计：开源 MIT 协议，1,247行代码结构清晰，经静态/动态分析验证

---

潜在缺点与局限性

1. Cookie 明文存储：虽权限设为 0600，但仍以明文 JSON 保存登录态，建议评估加密或系统密钥管理服务
2. Playwright 依赖较重：浏览器自动化带来检测风险与资源开销，且为中等攻击面
3. T3 来源可信度：个人开发者/社区项目，非顶级开源基金会或大厂背书，需用户自行审计
4. 网络限制严格：仅支持掘金官方域名，无法扩展至其他技术社区
5. 批量下载上限固定：50篇硬上限可能无法满足大规模归档需求

---

适合人群

• 技术博主/内容创作者：需要批量管理掘金文章、自动化发布流程
• 开发者/运维人员：希望将掘金内容集成到个人知识库或 CI/CD 流程
• 数据分析师：需要获取掘金热门趋势数据进行研究（仅限公开数据）

---

常规风险

| 风险类型 | 等级 | 说明 |

|---------|------|------|

| 凭证泄露 | 低 | Cookie 明文存储，但权限控制良好；避免共享环境使用 |

| 路径遍历 | 极低 | 多重验证机制，经代码审计确认有效 |

| SSRF | 极低 | 严格域名白名单，非官方域名图片自动跳过 |

| 误操作发布 | 极低 | 默认草稿+三重确认，误发概率极低 |

| 平台封禁 | 低 | Playwright 自动化存在被检测风险，建议控制调用频率 |

使用建议：仅在个人可信设备运行，避免 CI/共享环境；使用后执行 rm ~/.juejin_cookie.json 主动撤销登录态；定期更新依赖并审计代码。