掘金技能集

核心功能

Juejin Skills 是面向掘金技术社区（juejin.cn）的自动化操作技能，提供三大核心能力：

1. 热门文章排行榜（只读）：获取全站或指定分类（前端、后端、AI等）的热门文章，支持按3天/7天/30天/历史时间维度筛选趋势。

2. Markdown文章发布（需登录态）：通过 Playwright 浏览器登录获取 Cookie，将本地 .md 文件发布为草稿；公开发布需多重显式确认（API层参数 + CLI层环境变量 + 交互式确认）。

3. 文章下载（只读+本地写入）：通过文章 URL 或用户 ID 下载单篇/批量文章，转换为标准 Markdown 格式，可选保留图片（仅限官方图床域名）。

显著优点

• 严格的权限最小化：网络仅访问 juejin.cn 域名，图片下载有白名单限制（*.byteimg.com），防止 SSRF。
• 多层发布确认机制：默认仅创建草稿，公开发布需 save_draft_only=False + allow_public_publish=True + 命令行开关 + 环境变量 + 交互式确认五重关卡。
• 文件系统沙箱：读取路径严格限制在当前工作目录或 $JUEJIN_MD_ROOT 下，禁止访问 /etc、~/.ssh 等敏感路径，符号链接和路径遍历攻击被 os.path.realpath 解析后拦截。
• 凭证隔离：Cookie 以 0600 权限存储于 ~/.juejin_cookie.json，用户可随时删除撤销，仓库已默认排除该文件。

潜在局限与风险

• Cookie 明文存储风险：虽然文件权限为 0600，但仍为明文 JSON，共享机器或 CI 环境中存在泄露风险。
• 浏览器自动化依赖：登录需本地 Chromium，无头模式可能受环境限制，且首次运行需下载浏览器二进制文件。
• API 稳定性：依赖掘金未公开文档化的内部 API，存在接口变更导致功能失效的可能。
• 图片下载限制：非官方图床图片自动跳过，可能导致下载文章图片不完整。

适合人群

• 需要在掘金批量管理内容的开发者、技术博主
• 希望自动化发布工作流但重视安全确认机制的团队
• 需要离线备份掘金文章的个人用户

常规风险提示

⚠️ 切勿在共享服务器或 CI 容器中使用（Cookie 即账号登录态）；使用后立即执行 rm ~/.juejin_cookie.json；避免将敏感路径传入本技能。

核心用法

Juejin Skills 是由 wscats 开发的掘金技术社区自动化操作工具，提供三类核心功能：

1. 热门文章排行榜（只读）：查询掘金全部分类或指定分类（前端、后端、Android、iOS、人工智能等）的热门文章榜单，支持按 3 天/7 天/30 天/历史趋势筛选。

2. 文章发布（需登录 + 严格确认）：通过 Playwright 浏览器登录获取 Cookie，将本地 Markdown 文件发布为草稿。API 层默认 save_draft_only=True，公开发布需额外显式设置 allow_public_publish=True；CLI 层还需环境变量 JUEJIN_CONFIRM_PUBLISH=1 加交互式输入 "yes" 三重确认。

3. 文章下载（只读 + 写本地）：通过掘金文章 URL 或作者主页链接，下载单篇或批量文章保存为 Markdown，可选下载官方图床图片至 ./output/images/。

---

显著优点

• 安全默认设计（Safe-by-Default）：发布功能默认仅创建草稿，公开发布需多层显式确认，有效防止误操作。
• 严格的输入验证：文件读取通过 _validate_markdown_path() 校验，仅接受当前工作目录或 $JUEJIN_MD_ROOT 下的 .md 文件，禁止访问 /etc、~/.ssh 等敏感路径，并使用 os.path.realpath 解析防符号链接逃逸。
• 网络访问受限：仅访问 juejin.cn 和 api.juejin.cn，图片下载白名单限制为官方图床域名（*.byteimg.com），有效防止 SSRF。
• 凭证管理规范：Cookie 以明文 JSON 保存至 ~/.juejin_cookie.json，但强制 0600 权限，SKILL.md 明确声明风险并提供主动撤销指令。
• 依赖可信：5 个核心依赖（httpx、markdownify、playwright、beautifulsoup4、lxml）均为知名开源项目，无已知 CVE。

---

潜在缺点与局限性

• Cookie 明文存储：虽权限受限，但仍以明文形式存储于本地，共享环境存在泄露风险。
• 浏览器自动化依赖：登录需 Playwright 启动 Chromium，对无图形界面环境或 CI 容器不够友好。
• 平台绑定：仅支持掘金（juejin.cn），无法迁移至其他技术社区。
• 图片下载受限：仅支持官方图床，第三方外链图片自动跳过，可能影响文章完整性。

---

适合人群

• 技术内容创作者：需要批量管理掘金文章、快速发布草稿的开发者。
• 内容研究者：需要爬取热门文章数据进行分析的技术博主或研究者。
• 个人自动化工作流：希望在本地构建「撰写→发布→备份」一体化流程的独立开发者。

---

常规风险

• 凭证泄露风险：若在共享机器或 CI 环境中使用，明文 Cookie 可能被其他用户读取。
• 账号风控风险：频繁 API 调用可能触发掘金平台限流，建议添加请求间隔。
• 路径遍历风险：已 mitigated，但若自定义 $JUEJIN_MD_ROOT 指向不当，仍可能扩大攻击面。
• 误发布风险：虽有多层确认，但用户若连续误操作 yes 仍可能意外公开内容。

建议：使用后立即执行 rm ~/.juejin_cookie.json 撤销凭证，避免长期留存。