Feishu Project(Meego) Connector

通过 MCP 服务连接 Meego（飞书项目），支持 OAuth 认证，可查询和管理工作项、视图等。

Security Scan

The skill’s requested binaries, install step, and its instructions to read/write ~/.mcporter/credentials.json are coherent with its stated purpose (connecting to Meego via MCP/OAuth); the main remaining risk is the sensitive credential file access which the SKILL.md attempts to constrain.

Purpose & Capability

Name/description (Meego/Feishu project via MCP) align with required binaries (node, npx), the declared config path (~/.mcporter/credentials.json), and the install of the npm package @lark-project/meego-mcporter which provides the meego-mcporter CLI.

Instruction Scope

SKILL.md instructs the agent to read ~/.mcporter/credentials.json (to show OAuth client params) and to write user-provided authorized credentials into that file for remote-server flows. That file access is sensitive but explicitly declared in the metadata and the document mandates user confirmation, no logging of credentials, and immediate cleanup of temporary files. The instructions are within the advertised scope but involve high-sensitivity operations that rely on the agent following the stated constraints.

Install Mechanism

Install uses a named npm package (@lark-project/meego-mcporter) to create a CLI binary (meego-mcporter). This is an expected mechanism for a Node-based CLI; no arbitrary URL downloads or archive extraction are used.

Credentials

No environment variables or unrelated credentials are requested. The single declared config path (~/.mcporter/credentials.json) is directly relevant to storing OAuth credentials for mcporter and is proportional to the skill's functionality.

Persistence & Privilege

always is false and the skill is user-invocable; it does not request permanent system-wide presence or modification of other skills. Autonomous invocation is allowed by platform default but not accompanied by other concerning privileges.

Assessment

This skill appears internally consistent, but it requires reading and writing your OAuth credential file (~/.mcporter/credentials.json). Before installing: (1) Confirm you trust the npm package owner (@lark-project) — inspect the npm page and source (GitHub) if available. (2) Prefer the browser OAuth flow on a machine where you control the browser rather than letting an agent handle credential files. (3) If using the remote flow, only provide authorized credential files manually and keep backups; verify the agent asks for explicit confirmation before showing or writing credentials. (4) Consider running the npx meego-mcporter auth commands yourself (outside the agent) and only grant the agent access to the credential file after you’ve verified its contents. (5) If you have strict security requirements, review the installed package code (node_modules/@lark-project/meego-mcporter) and the meego-mcporter binary before use.

Meego (飞书项目) Skill

通过 MCP 服务连接 Meego（飞书项目），支持 OAuth 认证。

前置要求

本技能依赖以下环境：

• Node.js（>= 18）及 npx
• @lark-project/meego-mcporter：MCP 传输工具，来源 npm（npm install -g @lark-project/meego-mcporter 或通过 npx 自动获取）

凭证管理说明

本技能使用 ~/.mcporter/credentials.json 存储 OAuth 凭证（由 mcporter 管理）。

• 方式一（推荐）：浏览器 OAuth——mcporter 自动完成授权并写入凭证，agent 无需接触凭证内容。
• 方式二（远程服务器）：当服务器没有浏览器时，需要用户在本地电脑完成 OAuth 后将凭证同步到服务器。此流程中 agent 会协助展示 OAuth 客户端配置（不含 token）以及写入用户提供的已授权凭证，所有操作均需用户逐步确认。

安全约束：

• agent 不得自主发起凭证操作，每一步均需用户明确确认
• agent 不得将凭证内容记录到日志、历史消息或任何非 ~/.mcporter/ 的位置
• 操作过程中产生的临时文件必须立即清理

连接方式

1. 询问用户使用哪种方式进行认证

注意：一定要询问用户，让用户主动选择，禁止自动帮用户选择。 本工具支持两种认证方式：

• 浏览器 OAuth（推荐）：适用于本地安装 OpenClaw 的场景，自动调起浏览器完成授权
• 远程 OAuth 代理：适用于在远程服务器（无浏览器环境）安装 OpenClaw 的场景

2. 浏览器 OAuth（推荐）

2.1. 创建配置文件

将技能包目录中的 meego-config.json 拷贝到工作目录下。

2.2. 执行 OAuth 认证（只需一次）

npx @lark-project/meego-mcporter auth meego --config meego-config.json

这会打开浏览器让你授权飞书账号。授权完成后，凭证会缓存到 ~/.mcporter/credentials.json，后续调用不需要再次授权。

3. 远程 OAuth 代理

适用场景：远程服务器没有浏览器，用户需要在本地电脑完成 OAuth 后将凭证同步回服务器。

3.1. 创建配置文件

将技能包目录中的 meego-config.json 拷贝到工作目录下。

3.2. 生成 OAuth 客户端配置

npx @lark-project/meego-mcporter auth meego --config meego-config.json --oauth-timeout 1000

此命令会在 ~/.mcporter/credentials.json 中生成 OAuth 客户端配置（仅包含 client 参数，不含 token）。

3.3. 协助用户完成本地授权

此步骤需要 agent 与用户配合完成凭证同步。由于远程服务器没有浏览器，用户需要在本地电脑完成 OAuth 授权。

步骤 A — 向用户展示 OAuth 客户端配置（需用户确认）：

读取 ~/.mcporter/credentials.json 的内容（此时仅包含 OAuth 客户端参数，不含 token），向用户展示并告知：

以下是 OAuth 客户端配置，请参考文档 https://project.feishu.cn/b/helpcenter/1ykiuvvj/1n3ae9b4 在本地电脑中完成授权，授权完成后请将生成的凭证文件提供给我。

步骤 B — 接收用户提供的已授权凭证（需用户确认）：

用户在本地完成 OAuth 后会提供已授权的凭证文件。在得到用户确认后，将其写入 ~/.mcporter/credentials.json。

写入完成后，立即清理操作过程中可能产生的任何中间临时文件。凭证内容仅存储在 ~/.mcporter/credentials.json，不得保存到其他任何位置。

3.4. 验证授权结果

尝试连接 MCP 服务器，确认已成功通过授权。

4. 后续使用

npx @lark-project/meego-mcporter call meego <tool_name> --config meego-config.json

可用功能

• 查询：待办、视图、工作项信息
• 操作：创建、修改、流转工作项