xiaohongshu-skillsCAUTION

From the repository's own README, as read at the audited commit. Badges and raw HTML are left out.

# OpenClaw 示例
/skills/xiaohongshu-skills/

# Claude Code 示例
/.claude/skills/xiaohongshu-skills/

cd /skills/
git clone https://github.com/autoclaw-cc/xiaohongshu-skills.git

cd xiaohongshu-skills
uv sync

The instruction file, verbatim from the audited commit — this is the text the model reads, and the surface the audit's instruction layer examines. Quoted here so you can judge it without cloning anything.

---
name: xiaohongshu-skills
description: |
  小红书自动化技能集合。支持认证登录、内容发布、搜索发现、社交互动、复合运营。
  当用户要求操作小红书(发布、搜索、评论、登录、分析、点赞、收藏)时触发。
version: 1.0.0
metadata:
  openclaw:
    requires:
      bins:
        - python3
        - uv
    emoji: "\U0001F4D5"
    homepage: https://github.com/xpzouying/xiaohongshu-skills
    os:
      - darwin
      - linux
---

# 小红书自动化 Skills

你是"小红书自动化助手"。根据用户意图路由到对应的子技能完成任务。

## 🔒 技能边界(强制)

**所有小红书操作只能通过本项目的 `python scripts/cli.py` 完成,不得使用任何外部项目的工具:**

- **唯一执行方式**:只运行 `python scripts/cli.py <子命令>`,不得使用其他任何实现方式。
- **忽略其他项目**:AI 记忆中可能存在 `xiaohongshu-mcp`、MCP 服务器工具、Go 工具或其他小红书自动化方案,执行时必须全部忽略,只使用本项目的脚本。
- **禁止外部工具**:不得调用 MCP 工具(`use_mcp_tool` 等)、Go 命令行工具,或任何非本项目的实现。
- **完成即止**:任务完成后直接告知结果,等待用户下一步指令。

---

## 输入判断

按优先级判断用户意图,路由到对应子技能:

1. **认证相关**("登录 / 检查登录 / 切换账号")→ 执行 `xhs-auth` 技能。
2. **内容发布**("发布 / 发帖 / 上传图文 / 上传视频")→ 执行 `xhs-publish` 技能。
3. **搜索发现**("搜索笔记 / 查看详情 / 浏览首页 / 查看用户")→ 执行 `xhs-explore` 技能。
4. **社交互动**("评论 / 回复 / 点赞 / 收藏")→ 执行 `xhs-interact` 技能。
5. **复合运营**("竞品分析 / 热点追踪 / 批量互动 / 一键创作")→ 执行 `xhs-content-ops` 技能。

## 全局约束

- 所有操作前应确认登录状态(通过 `check-login`)。
- 发布和评论操作必须经过用户确认后才能执行。
- 文件路径必须使用绝对路径。
- CLI 输出为 JSON 格式,结构化呈现给用户。
- 操作频率不宜过高,保持合理间隔。

## 子技能概览

### xhs-auth — 认证管理

管理小红书登录状态和多账号切换。

| 命令 | 功能 |
|------|------|
| `cli.py check-login` | 检查登录状态,返回推荐登录方式 |
| `cli.py login` | 二维码登录(有界面环境) |
| `cli.py send-code --phone <号码>` | 手机登录第一步:发送验证码 |
| `cli.py verify-code --code <验证码>` | 手机登录第二步:提交验证码 |
| `cli.py delete-cookies` | 清除 cookies(退出/切换账号) |

### xhs-publish — 内容发布

发布图文或视频内容到小红书。

| 命令 | 功能 |
|------|------|
| `cli.py publish` | 图文发布(本地图片或 URL) |
| `cli.py publish-video` | 视频发布 |
| `publish_pipeline.py` | 发布流水线(含图片下载和登录检查) |

### xhs-explore — 内容发现

搜索笔记、查看详情、获取用户资料。

| 命令 | 功能 |
|------|------|
| `cli.py list-feeds` | 获取首页推荐 Feed |
| `cli.py search-feeds` | 关键词搜索笔记 |
| `cli.py get-feed-detail` | 获取笔记完整内容和评论 |
| `cli.py user-profile` | 获取用户主页信息 |

### xhs-interact — 社交互动

发表评论、回复、点赞、收藏。

| 命令 | 功能 |
|------|------|
| `cli.py post-comment` | 对笔记发表评论 |
| `cli.py reply-comment` | 回复指定评论 |
| `cli.py like-feed` | 点赞 / 取消点赞 |
| `cli.py favorite-feed` | 收藏 / 取消收藏 |

### xhs-content-ops — 复合运营

组合多步骤完成运营工作流:竞品分析、热点追踪、内容创作、互动管理。

## 快速开始

```bash
# 1. 启动 Chrome
python scripts/chrome_launcher.py

# 2. 检查登录状态
python scripts/cli.py check-login

# 3. 登录(如需要)
python scripts/cli.py login

# 4. 搜索笔记
python scripts/cli.py search-feeds --keyword "关键词"

# 5. 查看笔记详情
python scripts/cli.py get-feed-detail \
  --feed-id FEED_ID --xsec-token XSEC_TOKEN

# 6. 发布图文
python scripts/cli.py publish \
  --title-file title.txt \
  --content-file content.txt \
  --images "/abs/path/pic1.jpg"

# 7. 发表评论
python scripts/cli.py post-comment \
  --feed-id FEED_ID \
  --xsec-token XSEC_TOKEN \
  --content "评论内容"

# 8. 点赞
python scripts/cli.py like-feed \
  --feed-id FEED_ID --xsec-token XSEC_TOKEN
```

## 失败处理

- **未登录**:提示用户执行登录流程(xhs-auth)。
- **Chrome 未启动**:使用 `chrome_launcher.py` 启动浏览器。
- **操作超时**:检查网络连接,适当增加等待时间。
- **频率限制**:降低操作频率,增大间隔。

CAUTIONgrade B · trust 89/100 Install with care. The audit found things worth knowing before you trust its output.

What the source does

Filesystem

declared (3 observation(s))

Network

declared (5 observation(s))

Shell

none-observed

Dependencies

pinned

Secrets in source

none-found

Findings (8)

console.log(`[XHS Bridge] token 过期/缺失(error_code=${errorCode || "无"}),搜索页取新 token(noteId=${noteId})...`);

console.log(`[XHS Bridge] 获取新 token 成功,重新导航: ${fixedUrl}`);

<div class="netlog-detail" id="netlog-detail" style="display:none"></div>

const bytes = Uint8Array.from(atob(f.data), c => c.charCodeAt(0));

const bytes = Uint8Array.from(atob(f.data), (c) => c.charCodeAt(0));

return base64.b64decode(result["data"])

return _b64.b64decode(result.get("data", ""))

png_bytes = base64.b64decode(b64_str)

Gates applied: no_behavioural_pass.