expanso-yaml-to-json

核心用法

yaml-to-json 是一款基于 Expanso Edge 平台的格式转换技能，提供三种使用模式：CLI 管道模式通过 echo '<input>' | expanso-edge run pipeline-cli.yaml 实现标准输入输出转换；MCP 服务器模式通过 expanso-edge run pipeline-mcp.yaml 启动 HTTP 服务，供 AI 客户端集成调用；云端部署模式则支持一键部署至 Expanso Cloud。该技能完全依赖 Expanso Edge 运行时环境，无需编写任何代码即可完成 YAML 到 JSON 的解析转换。

显著优点

安全性是该技能最突出的优势。作为纯配置型资产，它不含任何传统可执行脚本，仅使用 Expanso Edge 平台的标准 mapping 语法，从根本上杜绝了代码注入和恶意执行风险。功能设计高度透明，所有配置均可审计，输入处理经过 trim() 清洗和 catch(null) 错误捕获，无效输入返回空对象而非异常崩溃，避免信息泄露。1MB 的 max_buffer 限制有效防止内存耗尽攻击。此外，该技能完全本地处理，无网络传输、无数据持久化、无第三方依赖包，隐私保护达到极致。

潜在缺点与局限性

功能单一性是其主要局限——仅支持 YAML 到 JSON 的单向转换，无法保留 YAML 注释、锚点引用等元数据，复杂验证规则也无法实现。1MB 的输入大小限制使其无法处理超大配置文件。运行时依赖 Expanso Edge 环境，用户需先完成 clawhub install expanso-edge 安装，增加了使用门槛。MCP 模式虽可配置端口，但仍需用户主动管理网络暴露风险。

适合的目标群体

该技能特别适合以下用户：DevOps 工程师需要在 CI/CD 流水线中快速验证和转换配置格式；后端开发者处理 Kubernetes、Docker Compose 等 YAML 配置；AI 应用开发者希望将 YAML 转换能力集成到 MCP 兼容的客户端；以及对安全性有严苛要求的企业环境，需要零代码执行风险的工具链组件。

使用风险

常规风险主要集中在依赖项层面：Expanso Edge 平台的版本兼容性可能影响功能稳定性；MCP 模式的网络端口暴露需用户自行配置防火墙规则；虽无数据外传，但运行时日志可能记录输入内容，处理敏感配置时需注意清理。总体而言，该技能的风险可控且已充分披露。

核心用法

yaml-to-json 是 Expanso Edge 平台专用的格式转换 Skill，提供三种运行模式：

1. CLI 管道模式：通过 echo '<input>' | expanso-edge run pipeline-cli.yaml 直接运行，适合脚本集成
2. MCP 服务模式：启动为 Model Context Protocol 服务器，供 AI 助手调用
3. 云端部署：通过 expanso-cli job deploy 一键部署至 Expanso Cloud

该 Skill 完全基于声明式 YAML 管道配置，内部无可执行代码（无 bash/python/javascript），所有转换逻辑由 Expanso Edge 原生处理器完成。

显著优点

• 架构安全：纯配置型设计从根本上消除代码注入、动态执行和反序列化攻击面
• 供应链纯净：零第三方依赖（无 npm/pypi 包），完全规避 typosquatting、恶意包植入等供应链风险
• 数据本地化：无外部 API 调用、无遥测上报，YAML 内容仅在本地处理，敏感数据不会流出
• 部署灵活：支持本地 CLI、MCP 服务和云端三种形态，适应不同场景
• 透明可信：代码结构简单，无混淆，行为完全可预测

潜在缺点与局限性

• 功能边界：仅支持标准 YAML 到 JSON 转换，无高级功能（如自定义格式选项、schema 验证）
• 输入限制：默认 1MB 缓冲区限制，超大 YAML 文件需调整配置
• 平台绑定：依赖 Expanso Edge 运行时，无法独立运行
• T3 来源：作者为个人开发者（aronchick），虽无恶意指标，但非企业级背书

适合人群

• 开发者/DevOps：需要在 CI/CD 流水线或本地脚本中快速转换 YAML/JSON 格式
• 数据工程师：处理配置文件、Kubernetes manifest、GitHub Actions 等场景的格式互转
• 注重隐私的用户：希望数据完全本地处理，拒绝上传至第三方转换服务

常规风险

• Expanso 平台风险：需信任 Expanso Edge 运行时本身的安全性
• 配置误用：部署至云端时 YAML 内容将离开本地环境，敏感配置需谨慎评估
• 输入验证缺失：文档未明确说明无效 YAML 的错误处理行为，建议先行测试

综合评估

这是一个设计精良的微型工具 Skill，以"减法设计"实现极致安全——通过消除可执行代码和外部依赖，将攻击面压缩至理论最小。92 分的安全评分在纯配置型项目中属于优秀水平，适合作为基础设施工具链的可靠组件。