Wecom

核心用法

WeCom Skill 是一个通过 MCP（Model Context Protocol）协议向企业微信发送消息的集成工具。用户需在 WeCom 群聊中配置自定义机器人，获取 webhook URL 后配置到环境变量，即可通过 Claude Code 等 MCP 客户端调用。

支持两种消息类型：

• send_wecom_message：纯文本消息，支持 @ 指定成员
• send_wecom_markdown：富文本消息，支持加粗、斜体、删除线、链接、图片、@成员、字体大小与颜色等 WeCom 特有 Markdown 语法

显著优点

1. 无缝集成 Claude 生态：原生支持 Claude Code 和 Claude Desktop，配置简单
2. 企业级 IM 触达：企业微信在国内企业市场覆盖率高，消息到达率与可见性强
3. 灵活的消息格式：Markdown 支持丰富的格式与 @ 提醒，适合日报、告警、通知等场景
4. 零代码自动化：AI 助手可直接调用，无需自建服务端

潜在缺点与局限性

1. 仅限群聊机器人：不支持私聊或应用级消息推送
2. 频率限制：企业微信 webhook 有调用频率限制（默认 20 次/秒）
3. 网络依赖：需访问 qyapi.weixin.qq.com，海外环境可能不稳定
4. 无持久化能力：仅单向推送，无法接收或查询历史消息
5. 密钥管理风险：Webhook URL 包含密钥，泄露后可能被滥用群发

适合人群

• 使用 Claude Code 的开发团队与运维人员
• 需要自动化工作通知（CI/CD 告警、日报推送）的企业用户
• 已使用企业微信作为内部协作工具的组织

常规风险

• 密钥泄露：WECOM_WEBHOOK_URL 需妥善保管，建议配置在私有环境变量中
• 消息轰炸：AI 循环或误调用可能导致高频推送，触发频率限制或打扰群成员
• 内容审核：企业微信对消息内容有过滤机制，敏感词可能被拦截

核心用法

WeCom Skill 是一款基于 MCP（Model Context Protocol）的企业微信消息发送工具，提供 send_wecom_message 和 send_wecom_markdown 两个工具函数。用户配置企业微信群聊机器人 Webhook URL 后，即可通过 Claude Code 或 Claude Desktop 直接向企业微信群组推送文本消息或富格式 Markdown 内容，支持 @成员 提醒功能。

显著优点

1. 无缝集成：通过标准 MCP 协议接入主流 AI 客户端，无需额外开发。
2. 格式丰富：支持企业微信原生 Markdown 语法，包括加粗、斜体、删除线、链接、图片、字体大小、颜色及成员提醒。
3. 部署简单：仅需配置环境变量 WECOM_WEBHOOK_URL，TypeScript 构建后可直接运行。
4. 隐私友好：仅访问必要环境变量，无敏感数据收集，符合 GDPR 数据最小化原则。

潜在缺点与局限性

1. 依赖漏洞：当前依赖的 axios ^1.6.0 和 @modelcontextprotocol/sdk ^1.0.0 存在多个 HIGH 级别 CVE 漏洞，需手动升级修复。
2. 来源可信度低：T3 级别来源（本地路径，无 GitHub 托管信息），作者信息缺失，难以评估长期维护能力。
3. 功能单一：仅支持单向消息推送，无法接收群聊消息或实现交互式对话。
4. 网络依赖：完全依赖腾讯企业微信官方 API，若网络受限或 API 变更可能影响使用。

适合人群

• 需要自动化办公通知的企业用户
• 已通过 MCP 协议使用 Claude Code / Claude Desktop 的开发者
• 寻求轻量级、零服务端部署的群消息推送方案

常规风险

• 依赖安全风险：未修复的 CVE 漏洞理论上存在 SSRF、原型污染、数据泄露风险（实际影响因使用场景受限而降低）。
• Webhook 泄露风险：若 WECOM_WEBHOOK_URL 被泄露，他人可向群聊发送消息。
• T3 来源风险：无代码托管平台背书，更新与安全修复依赖不确定性较高。

建议

1. 立即升级 axios 至 >=1.15.2、@modelcontextprotocol/sdk 至 >=1.26.0。
2. 在 GitHub/GitLab 建立公开仓库，完善作者信息与项目文档，提升来源可信度。
3. 对 Webhook URL 采取访问控制，避免硬编码于共享配置文件。