用途
xhs-skill 是 xhs-* 系列的合并版技能，目标是让用户只需要执行一次 clawhub install xhs-skill 即可开始使用。它围绕小红书创作者中心提供三类任务：登录并保存 cookies、发布笔记（图文/视频）、导出创作者中心数据。所有浏览器交互（打开页面、点击、输入、上传、截图、登录、导出）全部委托给 agent-browser-stealth，仓库内禁止编写或维护发布编排脚本，发布动作必须在会话中由 agent-browser-stealth 执行；同时禁止使用旧通道 agent-browser。
安装与目录约定
安装命令：
clawhub install xhs-skill cd skills/xhs-skill npm i
其中 npm i 仅用于本技能自带的本地 CLI（二维码解码、cookies 工具）；如果不需要解码二维码或转换 cookies，也可以只用 agent-browser-stealth 完成扫码与导出。建议在工作目录下准备以下路径：
- data/xhs_login_qr.png：登录页二维码截图
- data/raw_cookies.json：导出的原始 cookies
- data/xhs_cookies.json：归一化后的 cookies
- data/exports/<YYYY-MM-DD>/：导出数据
- data/assets/<YYYY-MM-DD>/：发布笔记用的素材与来源记录
主要能力
- 登录（扫码）并保存 cookies：用 agent-browser-stealth 打开 https://creator.xiaohongshu.com/login，切换到扫码视图，截图保存二维码；通过本地 CLI 解码二维码文本并打印 ASCII 二维码回传给用户，等待用户确认已扫码后再导出 cookies。必须做后验校验，登录成功需同时满足当前 URL 已离开 /login、可访问创作者后台且不会 401 或回跳登录这两条强制条件，任一不满足必须回报登录失败并重试，禁止误报成功。输出为 JSON 结构，包含 ok、checks 与 artifacts 字段。
- 发布笔记（图文/视频）：先把素材整理为 data/publish_payload.json，包含话题、来源（名称、URL、日期、证据摘录、关键事实）、标题、正文、标签、真实话题、媒体路径。发布前必须执行校验脚本 verify_publish_payload.mjs 与内容审核脚本 review_publish_payload.mjs，只有两者都 ok=true 才允许进入发布页。
- 导出创作者中心数据：进入仪表盘、内容分析、粉丝分析等页面，优先使用页面自带导出，无导出时保存关键区块截图，并记录导出时间范围、口径与页面 URL。
使用方式
本地 CLI 命令包括： node ./bin/xhs-skill.mjs qr show --in <pngPath> node ./bin/xhs-skill.mjs cookies normalize --in <jsonPath> --out <outPath> node ./bin/xhs-skill.mjs cookies status --in <cookiesJsonPath> node ./bin/xhs-skill.mjs cookies to-header --in <cookiesJsonPath> 以及两个门禁脚本：verify_publish_payload.mjs（普通模式与 --mode hot 热点模式）和 review_publish_payload.mjs。发布流程由 agent-browser-stealth 串行执行：预检 -> 填充 -> 读回校验 -> 发布 -> 回查。
适用场景
适合需要以自动化方式管理小红书创作者账号的登录态、内容发布与数据导出的使用者，尤其是需要按固定模板产出图文笔记、发布前做内容审核与门禁校验、发布后做双重确认的场景。
限制
技能包含多项强制约束：同一 agent-browser-stealth session 禁止并发操作（需串行执行）；snapshot 的 ref 会漂移，关键动作前后必须重抓 snapshot -i 并用 placeholder/role/text 二次定位；扫码不等于登录成功；标题正文需双向读回校验，出现错位需交换重写一次，仍失败则中止；发布频率默认同一 profile 24h 不超过 3 篇、两次发布最小间隔 30 分钟，命中门禁必须中止；标题正文标签禁止出现链接或域名形态；标签与真实话题必须来自 data/tag_registry.json，禁止自造标签，也禁止把 #标签 拼进正文冒充话题；禁止只传截图直接发布；若校验或审核不通过宁可中止，不承诺“100% 不被识别为 AI”。敏感数据（cookies、导出文件、截图）只落地在本机 data/ 目录，不要粘贴到聊天里。登录失败回退、二维码解码失败处理等流程也均有明确说明。