> 全程真实操作记录：安装官方云盘 Skill → 安全审计 → 发现 token 5 分钟短效的痛点 → 逆向换票协议 → 写出可长期运行的独立 Python 模块。附完整思路与验证数据。

## 一、为什么要给 AI 接云盘

WorkBuddy 的沙箱环境能写代码、处理文件，但文件生命周期跟着会话走。我一直想要一个持久化的「云端仓库」：让 AI 把产出直接备份到网盘、需要时再取回来。

正好在 SkillHub（skillhub.cn）发现了中国移动云盘官方 Skill：不限速、免流量，支持上传/下载/搜索/整理，还提供「AI 专属空间」沙箱目录。装上它，AI 就有了自己的网盘操作能力。

## 二、安装与安全审计：装之前先「验货」

安装本身很简单：

```bash
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash --cli-only
skillhub install cm-cloud-manage --dir ~/.codebuddy/skills/
```

但第三方技能本质上是「给 AI 注入的指令 + 本地可执行脚本」，直接装等于让陌生代码进沙箱。所以我先做了一轮人工审计：

- **危险函数扫描**：全部 14 个 Python 脚本，无 `os.system` / `subprocess` / `eval` / `exec` / `socket`；
- **网络行为**：仅连接移动官方域名（`orches.yun.139.com` API、`idaas.cmpassport.com` 认证），无第三方外传；
- **凭据处理**：creditToken 以 0600 权限原子写入本地 JSON，不上传；
- **SKILL.md 指令**：无提示注入，且内置安全约束——写操作仅限云盘沙箱目录 `/AI空间/智能体云盘助手`。

结论：干净，可以装。这一步建议每个装技能的人都做，成本十分钟，买一个安心。

## 三、登录与日常使用

```bash
python3 ~/.codebuddy/skills/cm-cloud-manage/scripts/main.py login
```

返回一个授权链接，手机扫码确认后即完成登录。之后 AI 就可以：

```bash
# 上传到沙箱
python3 main.py upload /tmp/report.pdf
# 全盘搜索：2025 年的 PDF
python3 main.py search_filter -t 4 --ext pdf --start-at 2025-01 --end-at 2025-12
# 下载回本地
python3 main.py download <fileId> /home/user/Downloads
```

到这里，AI 已经能把云盘当「云端存储仓」用了。但很快我撞上了第一个真正的坑。

## 四、痛点：token 只有 5 分钟

翻鉴权源码发现：调用云盘 API 需要在请求头带 `host-creditToken`，而这张票**有效期只有 300 秒**。

技能的解法是自动续票：用 `accessToken` 调 `idaas.cmpassport.com` 的 preAuth 接口换新票。问题是这套逻辑和技能目录绑死，我自己的程序想长期跑怎么办？

我把 preAuth 协议扒了出来，发现签名参数**全部本地可算**：

```python
# preAuth 签名算法：字段全部本地可算，无服务端私钥
sign = md5(
    clientId + ifaceVersion + timestamp + traceId + clawUid
    + skillId + skillName + devId
)
```

没有任何服务端私钥参与。这意味着：任何独立程序都能自己续票，理论上可以 7×24 无限续下去。我写了个 20 行的纯 requests 脚本验证——果然换到了新票（`resultCode=103000`）。

## 五、自研独立模块：cmcloud

于是我把整个协议封装成了一个不依赖技能目录的单文件模块，核心设计三点：

**1. TokenManager 自动续票**——每次 API 调用前检查有效期，不足 30 秒缓冲就静默换票，调用方完全无感：

```python
cloud = CMCloud()                      # 凭据 ~/.cmcloud/credentials.json
files = cloud.search(keyword='发票')    # 内部自动拿有效 token
cloud.upload('/tmp/a.pdf')             # 过期了也会自动换，无需干预
```

**2. 凭据无缝迁移**——首次运行自动从已安装的 Skill 目录导入登录态（clawUid + accessToken），已扫过码的机器零成本切换。

**3. 保留沙箱边界**——默认写操作仍限制在云盘沙箱目录，防止 AI 误操作；`sandbox=False` 可显式放开。

## 六、实测数据

全链路真实验证结果：

| 测试项 | 结果 |
| ---- | ---- |
| 凭据导入 + 登录态检查 | 通过，fileId 与原技能一致 |
| 强制过期 → 自动换票 | 通过，秒级换到新票 |
| 上传 + SHA256 比对 | 通过，与本地逐字节一致 |
| 下载 + SHA256 比对 | 通过，同名自动加 (1) 后缀 |
| 批量复制（异步任务轮询） | 通过 |

## 七、几点体会

1. **给 AI 装技能前先审计**——skill 就是给 LLM 的指令注入 + 本地代码，验货习惯值得养成；
2. **读源码是最快的文档**——移动云盘这套协议没有公开文档，但技能源码把 9 个 REST 端点、签名算法、上传三步协议全暴露了；
3. **「绕过限制」往往是「复用机制」**——token 短效是服务端规则绕不开，但换票机制本来就为自动化设计，理解它比对抗它省力得多。

模块 cmcloud.py（单文件，含完整 CLI 与文档），需要的同学评论区吱一声，我直接贴出来。

---

*标签：#WorkBuddy #中国移动云盘 #AI智能体 #Python #自动化*

全程真实操作记录：安装官方云盘 Skill → 安全审计 → 发现 token 5 分钟短效的痛点 → 逆向换票协议 → 写出可长期运行的独立 Python 模块。附完整思路与验证数据。

实战记录：给 WorkBuddy 装上中国移动云盘，从技能安装到自研续票模块

编程语言

开发工具

后端

实测为AI智能体接入中国移动云盘官方Skill，完成安全审计并发现token仅5分钟短效的痛点。逆向分析preAuth换票协议，封装出独立Python模块cmcloud.py，支持自动续票、凭据迁移与沙箱边界保留。全链路验证上传下载、SHA256比对、批量复制均通过，实现7×24小时稳定云端存储自动化。

安全审计

代码解释

智能体

WorkBuddy 

SkillHub

Python

JSON

2026上云采购 | AI焕新·智启新局

workbuddy

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

实战记录：给 WorkBuddy 装上中国移动云盘，从技能安装到自研续票模块-腾讯云开发者社区-腾讯云

实战记录：给 WorkBuddy 装上中国移动云盘，从技能安装到自研续票模块

实战记录：给 WorkBuddy 装上中国移动云盘，从技能安装到自研续票模块

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐