核心功能
youtube-transcript-native-node 是一个原生 Node.js 工具，通过封装外部 yt-dlp 二进制程序，从 YouTube 视频中提取现有字幕/自动生成字幕，输出干净的纯文本或结构化 JSON。零 npm 依赖，无需 API 密钥，支持多语言、时间戳标记和去重处理。
显著优点
- 零依赖轻量：纯 Node.js 实现，不引入额外 npm 包，降低供应链攻击面
- 无需认证：不读取 API 密钥、环境变量或配置文件，开箱即用
- 灵活输出：支持纯文本（默认）、带时间戳文本、JSON 结构化数据三种模式
- 安全沙箱：严格的 URL 白名单（仅 YouTube 域名）、120 秒超时、临时目录自动清理
- 健壮性设计：
--ignore-config隔离用户配置、子进程无 shell 执行、输出大小硬上限（200 万字符）
潜在局限
- 外部二进制依赖：必须预装
yt-dlp且位于 PATH，二进制本身的供应链信任边界由用户环境承担 - 仅提取现成字幕：不提供音频转录，若视频无字幕则失败
- 网络与平台风险：
yt-dlp直接访问 YouTube，可能遭遇速率限制（429）、地域封锁或视频下架 - 隐私敏感场景受限：不宜用于私有/客户敏感内容，因数据流经 YouTube 和本地二进制
- 静态分析噪音：预期产生
child_process相关警告，属设计意图内
适合人群
- 需要快速获取 YouTube 视频文字内容的研究者、内容创作者、摘要工具开发者
- 构建下游自动化流程（如视频摘要、关键词提取、引用溯源）的技术团队
- 偏好无 API 密钥方案、关注依赖最小化的安全敏感用户
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 供应链 | `yt-dlp` 二进制来源 | 由用户环境管控 PATH，技能不自动安装 |
| 网络暴露 | YouTube 访问被记录/限制 | 明确禁止隐私敏感内容，支持超时和重试提示 |
| 注入攻击 | URL 或参数篡改 | 严格 URL 白名单，子进程无 shell，参数数组化 |
| 信息泄露 | 临时路径暴露 | 自动清理 + stderr 路径脱敏 |
| 版权合规 | 字幕内容归属 | 文档强调摘要优先、完整转载需授权 |