核心用法
youtube-transcript-native-node 是一个轻量级 Node.js 工具，用于从 YouTube 视频提取字幕转录文本。它通过封装系统 PATH 中的 yt-dlp 二进制文件，下载 WebVTT 字幕文件，解析后输出纯净文本或结构化 JSON。无需 API 密钥，支持多语言选择、时间戳保留/去除、重复语句去重等选项。
显著优点
- 零 npm 依赖：仅依赖 Node.js 原生模块和外部
yt-dlp，无供应链安全风险 - 输入安全严格：仅限 YouTube 域名（youtube.com、youtu.be 等），显式拒绝非法 URL
- 进程隔离安全：使用
child_processargv 数组传参，无 shell 注入风险 - 资源边界控制：120 秒超时、200 万字符输出上限、临时目录自动清理
- 隐私设计：不读取 API 密钥、环境变量、配置文件，纯本地处理
- 输出灵活：支持纯文本、带时间戳、JSON 格式，适配下游摘要或工具链
潜在局限
- 外部依赖信任边界：
yt-dlp二进制需操作员自行维护，存在供应链风险 - 仅能提取已有字幕：非音频转录，无字幕视频无法使用
- 网络访问暴露：访问 YouTube 服务器，隐私敏感内容可能不适宜
- 平台受限：仅支持 YouTube，不支持其他视频平台
- 直播不支持：未结束的直播流无法提取
- 静态分析告警：
child_process使用会触发预期中的安全扫描警告
适合人群
- 需要快速提取 YouTube 视频文字内容的研究者、内容创作者
- 构建视频摘要、引用提取工作流的技术用户
- 注重依赖最小化、偏好本地处理而非云服务 API 的隐私敏感用户
常规风险
- 供应链风险：
yt-dlp二进制来源需可信，建议校验签名或哈希 - 隐私合规风险：处理客户敏感或私人视频时，需评估向 YouTube 发送请求是否合规
- 速率限制风险：高频调用可能触发 YouTube 反爬机制
- 字幕质量风险：自动生成的字幕可能存在错误，重要场景需人工复核