Mealie Skill 综合评估
核心用法
Mealie Skill 是 Mealie 自托管食谱管理器的 API 客户端，允许用户通过命令行界面与私人 Mealie 实例交互。该技能提供完整的食谱生命周期管理，包括：
- 食谱管理：列出、搜索、查看详情、从 URL 导入、删除食谱
- 购物清单：创建和管理购物清单，添加/删除/勾选商品
- 膳食计划：查看多日膳食安排，向特定日期添加或删除餐食
- 元数据管理：查看标签、分类和实例统计信息
使用时需配置两个环境变量：MEALIE_URL（实例地址）和 MEALIE_API_TOKEN（API 令牌），后者需在 Mealie 后台的用户资料页面生成。
显著优点
1. 完全自托管：数据主权归用户所有，不依赖第三方云服务，隐私性极强
2. 功能闭环：覆盖从食谱收藏、膳食规划到购物清单生成的完整工作流程
3. 标准 API：基于 RESTful API 和 Bearer Token 认证，接口设计清晰
4. 灵活导入：支持从 URL 直接抓取并解析外部食谱
5. 开源生态：Mealie 本身是活跃的开源项目，社区支持良好
潜在缺点与局限性
1. 部署门槛：需要自行部署和维护 Mealie 实例，对非技术用户不友好
2. 网络依赖：仅支持本地或自托管实例，无法使用公共 Mealie 服务
3. 令牌管理：API Token 长期有效，泄露风险需用户自行管控
4. 功能边界：仅为 API 客户端，本身不具备食谱抓取解析能力，依赖 Mealie 后端
5. 输入验证：文档未提及对 URL、日期格式等输入的严格校验机制
适合人群
- 注重隐私、不愿将食谱数据托管在云端的家庭用户
- 已部署或愿意部署 Mealie 的技术爱好者
- 需要将食谱管理集成到自动化工作流中的效率工具用户
- 对膳食规划和购物清单有系统化管理需求的人群
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| 凭证泄露 | `MEALIE_API_TOKEN` 明文存储于 `.env` 文件 | 限制文件权限（600），避免提交到版本控制 |
| 实例暴露 | Mealie 若部署在公网且未配置 HTTPS/TLS | 强制 HTTPS，配合反向代理和 IP 白名单 |
| 令牌长期有效 | 令牌无内置过期机制 | 定期轮换，监控异常访问日志 |
| 依赖风险 | Node.js 运行时依赖 | 保持 Node.js 版本更新，审计依赖包 |