api-skill-builder

API 取数 Skill 生成器

安全声明

本模块的 Cookie 提取和 API 测试功能遵循以下安全原则：

• 本地验证：document.cookie 仅用于本地 curl 命令测试 API 鉴权机制，不会上传至任何外部服务
• 用户授权：所有操作仅作用于用户已登录的平台，需用户明确触发
• 合法用途：适用于开发调试、数据导出、自动化测试等场景，用户需确保符合目标平台的使用条款

---

概述

这是一个元技能（Meta-skill），将"逆向网页API并生成可复用取数Skill"的方法论封装为标准流程。

核心思路：页面上能看到的数据，一定来自某个 API 请求。找到 API → 逆向参数 → 生成可复用 Skill。

输入：用户描述要从某个网页/平台获取什么数据 输出：一个完整的、可复用的 API 取数 Skill（SKILL.md + Python 脚本 + api_mapping.json）

前置条件

1. 浏览器已登录目标平台，登录态有效
2. DataSaver Chrome 扩展已安装并连接（提供 fetch_api 等工具）
3. MCP 端点已配置

设计原则

• 逻辑尽量收敛到 Python 脚本：脚本可独立测试、可维护，SKILL.md 保持精简
• SKILL.md 控制在 500 行以内：超过后 Claude 执行步骤时遗漏/出错概率显著上升
• Claude 只做调度员：参数收集 + 执行脚本 + 转述输出，不参与数据处理
• 所有数据处理由脚本完成：避免 LLM 截断数据或产生幻觉

执行流程（5个阶段）

阶段0: 鉴权探测（确定 Cookie 是否够用）
  ↓
阶段1: 侦察（找到 API endpoint）
  ↓
阶段2: 逆向（破解请求参数）
  ↓
阶段3: 验证（确认数据完整性 + 发现转换规则）
  ↓
阶段4: 生成（产出 Skill 三件套）

---

阶段0: 鉴权探测 — 确定 Cookie 可用性

目标：确认 document.cookie 能否独立完成 API 鉴权，这决定了脚本是否能直接调用 API。

Step 0.1: 提取 document.cookie

// chrome_execute_script, world: MAIN, tabId: <目标页面>
() => document.cookie

记录 Cookie 内容，识别可能的鉴权 token（如 sso.token、access-token、User、sessionid 等）。

Step 0.2: 找到一个数据 API endpoint

通过 Performance API 快速找一个数据 API（详见阶段1 Step 1.2），用于鉴权测试。

Step 0.3: curl 鉴权测试

MCP 工具走 Chrome 网络栈，会在底层自动附加 httpOnly cookie，即使设置 includeCookies: false 或传入假 Cookie 也无效，导致鉴权测试结果永远成功，产生误判。

curl 是完全独立于浏览器的 HTTP 客户端，只发送你显式传入的 Cookie，是唯一可靠的验证方式。

curl -s -X <METHOD> \
  -H "Cookie: <Step 0.1 提取的 document.cookie>" \
  -H "Content-Type: application/json" \
  -H "User-Agent: Mozilla/5.0" \
  "<API_URL>" [-d '<request_body>'] \
  | python3 -c "import json,sys; d=json.load(sys.stdin); print(json.dumps({
    'status': d.get('status', d.get('code', d.get('Code'))),
    'msg': d.get('msg', d.get('Msg', ''))
  }, ensure_ascii=False))"