整理当天AI行业新闻发布到公众号

AI新闻一键发布技能。从36氪/虎嗅获取AI新闻，改写成爆款文章，发布到微信公众号。触发词：发布AI新闻、公众号发文章、科技新闻发布、爆款文章。

Security Scan

技能功能与描述大体一致（抓取新闻、改写、发布到微信公众号），但在元数据、凭证读取和安装行为上有明显不一致或过度访问，需要用户注意并审查后再启用。

Purpose & Capability

技能声称抓取 36氪/虎嗅、改写并发布到微信公众号；脚本和说明确实实现这些行为，所需的 WECHAT_APP_ID/WECHAT_APP_SECRET 也与发布功能相符. 不过 registry 元数据声明没有必需环境变量，而 SKILL.md 和脚本都要求微信凭证 — 这在元数据与实际需求间不一致。

Instruction Scope

运行时说明和脚本会：调用 scrapling（含 stealthy-fetch、代理建议）、读取/写入 memory/selected-topics.md、要求执行 /root/.openclaw/... 的绝对路径、并从 $HOME/.openclaw/workspace/TOOLS.md 读取凭证。读取 TOOLS.md（一个可能包含其他凭证/敏感信息的集中文件）是主要的越界/隐私风险。脚本还假定以 root/workspace 路径存在，这样的硬编码有风险并可能泄露或误用主机上的其它数据。

Install Mechanism

注册表中没有 install spec，但 publish.sh 会在运行时尝试全局安装 npm 包（npm install -g @wenyan-md/cli）。在没有用户明确同意/审查的情况下自动执行全局 npm 安装具有潜在风险（网络下载、全局可执行文件、权限要求）。此外依赖 scrapling（Python 包）但没有自动安装步骤，运行时会要求用户手动安装。

Credentials

实际运行需要 WECHAT_APP_ID 和 WECHAT_APP_SECRET（与功能相符），但 registry 未声明这些要求。更重要的是，脚本会从 $HOME/.openclaw/workspace/TOOLS.md 读取凭证；该文件可能包含其他服务的凭证 — 虽然脚本只 grep 指定变量，但访问并解析集中凭证文件会使技能有机会读取/依赖超出其功能范围的敏感数据。

Persistence & Privilege

技能没有设置 always:true，也不修改其他技能配置或系统范围设置。但脚本使用硬编码的 /root/.openclaw/... 路径与 HOME 下的 TOOLS.md，这使它依赖并触碰到宿主工作区的全局文件，增加潜在影响面。

What to consider before installing

要不要装——先别直接在生产/主机环境运行。注意事项： - 元数据未列出但脚本需要 WECHAT_APP_ID/WECHAT_APP_SECRET：在提供凭证前确认你信任该技能作者并已审阅脚本。 - 脚本会读取 $HOME/.openclaw/workspace/TOOLS.md：如果该文件存有其他凭证（API keys、token 等），技能间接访问这些信息会带来风险。建议把微信公众号凭证单独放在专用环境变量或专用文件，而不是共享的 TOOLS.md。 - publish.sh 会在运行时尝试全局 npm install：如果你允许自动安装，至少在隔离环境（容器/沙箱/临时 VM）中执行，以降低被恶意 npm 包或版本劫持的风险。 - 脚本路径硬编码为 /root/.openclaw/...：不要以 root 身份运行；在非 root 用户或隔离工作区测试，并修正路径为相对或可配置。 - 如果你信任并要使用：手动审阅 scripts/* 文件，移除或改造自动安装行为，显式设置并仅暴露所需的微信凭证，确认 memory/selected-topics.md 与 assets 路径安全且不包含敏感信息。 如需更高置信度评估，请提供作者来源/签名、npm 包 @wenyan-md/cli 的可信性证明，或允许我检查你环境中 TOOLS.md 的内容（仅在你愿意的受控情况下）。

AI新闻一键发布

一键从科技媒体获取AI新闻，改写成爆款文章，发布到微信公众号草稿箱。 完全独立，不依赖任何第三方技能。

目录结构

• scripts/: 包含微信发布脚本(publish.sh)、环境配置(setup.sh)和新闻抓取脚本(scrape_news.py)。
• assets/: 默认封面图(default-cover.jpg)。
• references/: 包含详细的写作指南和Scrapling抓取/解析说明。

环境准备与依赖

• 依赖：确保已安装 scrapling (Python) 和 @wenyan-md/cli (Node.js)。
• 凭证：环境变量须包含 WECHAT_APP_ID 和 WECHAT_APP_SECRET（或通过 source scripts/setup.sh 加载）。
• 权限：确保当前服务器IP（可通过 curl ifconfig.me 获取）已加入公众号开发基本配置的白名单。

完整工作流程

当触发本技能时，请严格按以下步骤执行：

1. 抓取新闻列表 使用 scrapling 获取 36氪 或 虎嗅 的AI频道新闻列表：

   scrapling extract get "https://www.36kr.com/information/AI/" /tmp/ai-news.md
   

   (注：如果遇到反爬拦截，可使用 fetch --network-idle 或 stealthy-fetch)

2. 去重与选题策划

   • 提取最新10条新闻的标题、摘要、链接。
   • 读取已发布记录：cat memory/selected-topics.md，排除近3天已发布或相似的主题。
   • 选出1条最具爆款潜质的新闻（热点性、争议性、情绪价值等）。

3. 抓取原文与改写

   • 抓取选中新闻的原文内容。
   • 极其重要：在改写之前，请务必阅读 references/writing-guide.md 获取爆款标题公式、结构模板和行文节奏指南。
   • 按照指南，改写为 1000-2000 字的高质量文章，包含钩子、痛点、分析、互动引导和金句。

4. 格式化文章 生成包含必需 Frontmatter 的 Markdown 文件：

   ---
   title: 爆款标题（≤30字）
   cover: /root/.openclaw/workspace/skills/ai-news-publisher/assets/default-cover.jpg
   ---
   
   # 正文开始...
   

   (注意：封面必须是绝对路径，正文段落宜简短并适当加粗)

5. 发布到草稿箱 使用专用脚本发布（推荐使用 lapis 主题和 solarized-light 代码高亮）：

   /root/.openclaw/workspace/skills/ai-news-publisher/scripts/publish.sh /tmp/final-article.md lapis solarized-light
   

6. 记录选题与收尾

   • 记录本次发布：

     echo "- $(date +%H:%M) | 文章标题 | 原文链接" >> memory/selected-topics.md
     

   • 向用户返回文章草稿箱链接及预览信息。

错误处理

• 抓取失败：依次降级尝试 fetch -> stealthy-fetch -> 更换新闻源。
• 发布报错 (ip not in whitelist)：提示用户将服务器公网IP加白。
• 发布报错 (title/cover missing)：检查 Markdown 头部是否严格按照要求包含了 title 和 cover 字段。

详细指南（按需参考）

在使用此技能时，遇到具体细节问题请查阅以下参考文件：

• writing-guide.md - 写作必读：爆款文章结构、标题公式、金句模板及排版要求。
• scrapling-fetching.md - 抓取指南：命令用法、隐身模式、代理配置。
• scrapling-parsing.md - 解析指南：CSS/XPath选择器用法与API。