核心用法
该 skill 提供基于 Node.js 的 CLI 工具集，通过 Microsoft Graph API 与 SharePoint 文档库交互，主打证书认证 + Sites.Selected 细粒度权限的安全架构。
主要功能：
- 站点信息查询：查看 site/drive 元数据
- 文件管理：列表、读取、上传、创建文件夹、删除（需确认）
- 智能文档解析：将 Office 三件套（Word/Excel/PPT）及 PDF 提取为纯文本，便于 AI 后续处理（摘要生成、行动项提取等）
- 安全删除机制：
--confirm强制确认，路径遍历防护
认证方式：Azure AD 证书认证（@azure/identity），摒弃 client secret，符合零信任安全模型。权限采用 Sites.Selected 模式，仅授权特定 SharePoint 站点，最小权限原则。
依赖技术栈：
- 文档解析：mammoth（Word）、exceljs（Excel）、jszip（PPT）、pdf-parse（PDF）
- API 客户端：
@microsoft/microsoft-graph-client
---
显著优点
1. 安全架构领先：证书认证 + Sites.Selected 的组合，相比传统 client secret 大幅降低凭证泄露风险，权限范围精确到站点级
2. 多格式 Office 解析原生支持：无需额外转换服务，本地提取文本，适合 RAG/AI 工作流
3. 企业级适用：Entra ID 原生集成，支持 Key Vault 等 Azure 生态
4. CLI 设计简洁：命令语义清晰，支持子目录操作和全文搜索
---
潜在缺点与局限性
1. 证书运维成本：需维护 .pem 证书文件，过期需轮换，对无 Azure 运维经验的团队有门槛
2. 仅支持 Modern Auth：不支持 SharePoint 本地部署（On-Premises）
3. 文档解析为纯文本：会丢失格式、表格结构、图片，复杂 Excel 公式仅保留值
4. 删除操作不可逆：虽需 --confirm，但无回收站/版本恢复 CLI 接口
5. 体积限制：默认 50MB，大文件需调整配置
6. 依赖 Node.js 生态：需 npm install，环境隔离需自行处理
---
适合人群
- 企业 IT/DevOps：已有 Azure/Entra ID 基础设施，需安全自动化 SharePoint 文档流
- AI/LLM 应用开发者：需要结构化提取 Office 文档内容注入 RAG pipeline
- 合规敏感型组织：对 client secret 有禁令，强制要求证书或 Managed Identity
---
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 证书泄露 | .pem 文件权限管理不当 | 使用 Azure Key Vault，文件系统 0600 权限 |
| 误删除 | `--confirm` 仍可能误操作 | 配合 SharePoint 版本历史/回收站策略，备份机制 |
| 权限扩大 | Sites.Selected 配置错误授予过多站点 | 定期审计 Graph API 权限分配 |
| 依赖供应链 | mammoth/exceljs 等解析库存在解析漏洞风险 | 锁定版本，定期 `npm audit`，SBOM 扫描 |
| 敏感信息提取 | PDF/Word 可能含隐藏元数据 | 提取后文本需额外脱敏处理 |
整体而言，这是安全性优先的 SharePoint 自动化方案，适合云原生、Microsoft 365 深度集成的组织。