核心用法
wechat-md-publisher 是一款面向微信公众号的内容发布自动化工具，通过 npx 动态执行，无需全局安装。核心工作流包括：配置微信公众号账号（AppID/AppSecret）、创建/发布 Markdown 文章、管理草稿与已发布内容。支持 6 种内置主题（default、orangesun、redruby、greenmint、purplerain、blackink），自动处理本地/远程图片上传至微信素材库，并提供 Wrapper 功能实现文章首尾固定图文。
显著优点
- 无缝集成 AI 工作流：专为 AI Agent 设计，可直接接收 Markdown 内容并自动发布，与
news-to-markdown配合实现"一键转载新闻到公众号" - 智能图片处理：自动识别并上传本地图片，解决远程 URL 过期、防盗链等问题，支持
--download-images最佳实践 - 多主题渲染：6 种精选主题覆盖科技、生活、文艺、夜间阅读等场景，无需 CSS 知识即可产出精美排版
- 完整的草稿生命周期管理：支持创建草稿、提交发布、列表查询、删除回滚，满足从创作到分发的全流程需求
- 安全性设计：凭证采用 AES-256 加密存储，支持环境变量注入避免进程泄露
潜在缺点与局限性
- 硬性网络要求：必须使用固定公网 IP 并配置微信 IP 白名单，动态 IP/VPN 用户无法使用
- 供应链风险：通过
npx动态拉取第三方 npm 包，存在代码注入和依赖投毒风险，需审计源码后使用 - 凭证管理复杂度：微信生态的 AppSecret 属于高敏感凭证，加密实现依赖上游包，用户需自行承担审计责任
- 远程主题风险：若使用
theme add-remote功能，第三方端点可能接收文章内容，仅适合可信源
适合人群
- 运营多个微信公众号的内容团队，需批量发布或自动化转载
- 开发者构建 AI 内容工作流，实现"AI 生成 → 自动发布"闭环
- 技术博主、 newsletter 作者，习惯 Markdown 写作且需分发至微信生态
- 有固定服务器或云主机资源的用户（满足 IP 白名单要求）
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 供应链攻击 | npx 执行的 npm 包可能被篡改 | 审计 https://github.com/sipingme/wechat-md-publisher 源码 |
| 凭证泄露 | AppSecret 泄露可导致公众号被接管 | 使用环境变量注入，避免命令行传参；定期轮换凭证 |
| IP 白名单绕过 | 固定 IP 被攻击者利用 | 限制服务器暴露面，仅开放必要端口 |
| 内容合规 | 自动化发布可能触发微信审核 | 建立人工审核节点，先草稿后发布 |
版本与维护
- 当前版本：v1.0.7（2026-04-26 更新）
- 许可证：Apache-2.0
- 维护者：Ping Si <sipingme@gmail.com>