1实现原理 · 为什么它能做到
把整个 CLI 生命週期写成 9 步循环（scaffold → catalog 找积木 → author → lint 快反馈 → check 终门 → 子合成快照 → preview → 批准后 render → 校验输出），并规定 check 内含 lint、不许再叠一次多余 lint。
skills/hyperframes-cli/SKILL.md
run `npx hyperframes check`; it reruns lint before opening the browser.
注：这里在做什么：把「何时用哪个门禁」写死，避免 agent 既跑 lint 又跑 check 造成重复开销；check 是唯一被维护的终门。
catalog 搜索被明确划为本地行为（无托管层、无账号、查询文本不外发），并把「用英文查询」「读 tier 字段而不是靠结果出现来猜」写成纪律。
skills/hyperframes-cli/SKILL.md
Search is entirely local: there is no hosted tier, no account, and the query text is never sent anywhere.
注：这里在做什么：把搜索的隐私承诺写进指令，同时交代两种排序（词面 words / 语义 on-device）的差异与读数方式（top_score 只是证据、不是阈值）。
check 的判定语义被明确定义：持久性发现才决定退出码，进出场类的瞬时发现只作信息；需要更严时用 --strict。
skills/hyperframes-cli/SKILL.md
Persistent findings gate the exit code; transient entrance or exit findings are informational.
注：这里在做什么：防止 agent 把一次进场闪烁当阻塞缺陷，也防止把真缺陷当过场忽略——门禁的含义被写死而不是靠猜。
渲染分四路（本地 / HeyGen 托管云 / 自管 AWS Lambda / 自管 GCP Cloud Run），并给出选择准则与「先读 reference 再跑」的强制要求。
skills/hyperframes-cli/SKILL.md
Use cloud rendering when the user wants hosted rendering without local Chrome, FFmpeg, or AWS.
注：这里在做什么：把「云」拆成托管与自管两种责任模型，Lambda 只在用户本来就有 AWS 时才值当（cloud.md 里写明），Cloud Run 只在明确要 GCP 时用。
读时间线优先用 `timeline --json` 而不是逐个读 HTML——嵌套行带主时间线的绝对 absStart/absEnd 与所属文件，比手读 index.html 更省 token 也更准。
skills/hyperframes-cli/SKILL.md
run `npx hyperframes timeline --json` instead of reading `index.html` and every sub-composition file
注：这里在做什么：把「取证」从读文件改成查结构化输出；reference 里还给了 5 条 jq/node 一行式（按绝对时间取正在播的 clip、按 id 找文件、找空隙与重叠等）。
反馈是流程的一等公民且有伦理条款：成功后发一条、公开渠道必须脱敏、按评分视情况附带 COMPOSITION_STRUCTURE 隐私包、`--file-issue` 需要用户同意才公开最小复现。
skills/hyperframes-cli/references/preview-render.md
**Feedback is submitted to a public channel — anonymize before sending.**
注：这里在做什么：把「上报」这件事的操作规范写死（剥离绝对路径、保留 HF_*/PRODUCER_* 变量、不复现也要给最后一次失败命令），并明确 issue 永不自动提交。
doctor 的 JSON 模式永远 exit 0（表示「诊断跑完了」而非「环境没问题」），因此必须 gate 它的 payload。
skills/hyperframes-cli/SKILL.md
`doctor --json` always exits zero. Gate on its payload:
注：这里在做什么：堵住「退出码即健康」的误判；doctor 检查 Node ≥22、CPU/内存/磁盘、FFmpeg/FFprobe、Chrome、Docker 等，并给出到 npm latest 的版本对比。
文档自身标出「不该跑的命令」：events 是给 skill 自报调用的遥测端点（不是读遥测的入口），validate/inspect/layout 是弃用别名，只有 check 被维护。
skills/hyperframes-cli/SKILL.md
Two entries in `hyperframes --help` are not part of the authoring loop, and reaching for them wastes a turn
注：这里在做什么：替 agent 省下试错回合；同时说明 events 无论传什么参数都退出 0、不构成能力面。
把「读对应 reference 再跑命令」定为硬契约，而不是背景阅读：11 个命令域各有归属文件，另有跨 skill 的强制引用（sub-composition/motion/keyframes/audio/media-use）。
skills/hyperframes-cli/SKILL.md
The following references and owning skills are mandatory command contracts, not optional background reading.
注：这里在做什么：把 SKILL.md 压成「循环 + 纪律」，细节下沉到 reference，靠 read-before-run 保证参数与失败码不被凭记忆编造。
2核心能力
01项目脚手架与站点捕获：init 建项目（分辨率/示例/带视频音频/Tailwind/非交互）、capture 从一个网址直接起项目（含 Whisper 自动转写）
02积木检索与安装：catalog 用自然语言查询本地/官方目录，add 把选中的 block/component 落进项目再就地改造
03验真门禁：lint 快反馈 + check 终门（一次浏览器会话 + 一次 seek 审计运行时错误、失败请求、布局、motion.json 断言与 WCAG 对比度）+ snapshot 抽帧/裁剪证据
04预览与呈现：preview（含 --background 起本地服务）/ play / present（deck + 讲者同步）/ beats（Studio 节拍网格）/ keyframes（运动轨迹诊断）
05渲染分档与批渲染：draft/looks/delivery 三档质量、--docker 可复现容器渲染、--batch rows.json 变量驱动批量产出
06云端与自管分布式渲染：HeyGen 托管云（零基础设施）、AWS Lambda、GCP Cloud Run 三条路径，各自有专属 reference 与部署/销毁生命周期
07发布与云资源管理：publish 上传项目源码得到稳定托管 URL（默认私有，--public 才公开），cloud list/get/delete 管理历史渲染（含短期签名 URL）
08环境诊断与自愈：doctor 检查版本/Node/CPU/内存/磁盘/环境变量/FFmpeg/Chrome/Docker，browser 命令管理随包 Chrome
09透明度与维护：telemetry status/enable/disable、feedback 上报、upgrade --check/--project、skills 自刷新、info/compositions/docs/benchmark、tts/transcribe/remove-background 媒体预处理
3外部依赖
| 类型 | 依赖 |
|---|---|
| cli | 官方 npx hyperframes CLI（本 skill 覆盖的全部子命令面；要求 Node 22+ 与 FFmpeg） |
| api | HeyGen 托管云渲染 API（zip 直传 S3 → 提交渲染 → 轮询 → 下载签名 URL；按 credit 计费） |
| cli | AWS（Lambda 自管分布式渲染：SAM 部署 Lambda + Step Functions + S3 + IAM） |
| cli | GCP（Cloud Run + Workflows + Cloud Storage，靠 gcloud 与 Terraform 部署） |
| api | npm registry（upgrade --check 比对已装版本与 npm latest；npx 首次拉取官方包） |
| network | 官方站点/文档（catalog 搜索说明页；SKILL.md 直接引用） |
| network | GitHub（init 时对着 GitHub 检查并更新已装 skill；registry 条目与 skills 自刷新） |
| package | 可选的 on-device 语义检索索引（量化 ONNX 模型 + catalog 向量，需用户同意后下载并缓存在本机） |
| cli | ffprobe（渲染后对账：时长/帧率 vs 根 data-duration） |
4风险提醒 风险提醒：橙色 · 评估后使用
风险提醒：橙色 · 评估后使用
- 项目素材出网与计费 — cloud render 会把项目 zip 上传到 HeyGen（200MB 上限，按 credit 计费），publish 则把源码上传换托管 URL。使用前应确认哪些资产可以出网；大文件只按 .hyperframesignore 的审计流程排除，绝不仅因体积大就忽略。
- 公开渠道反馈与公开复现 — feedback 提交到公开渠道，--file-issue 还会把最小复现发布到公开 URL。文档虽给了脱敏规范，但这一步是否真的脱敏取决于执行者；含客户数据/私有 URL 的项目应先自查。
- 远端 registry 条目进入可执行管线 — add 会把官方 registry 的 block/component HTML 落进项目并作为 composition 运行，属供应链信任面；若使用自定义 registry 源则风险更高。
- 凭证落在共享位置 — ~/.heygen/credentials 与 heygen CLI 共用（0600）；AWS 侧用 AWS_PROFILE，意味着本 skill 的云命令会以用户既有云身份执行部署（会创建 Lambda/Cloud Run/S3 等真实资源）。
- 平台前提与「无脚本」的双面性 — 全流程要求 Node 22+ 与 FFmpeg，渲染依赖本地 Chrome（或在云端另付额度）；本 skill 自身无代码，故所有实际行为（含其隐私与安全表述）都以官方 CLI 的实现为准，本报告只能对声明面取证。
风险提醒：橙色，评估后使用。判级对象是 skill 自身目录：11 个文件全是 markdown，零脚本、零自带端点、零代码级凭证读取——但 SKILL.md 与其 10 份 reference 就是该 skill 的声明面，而这个声明面**统领的是带凭证与出网的上传型命令**：读 HeyGen 凭证（HEYGEN_API_KEY → HYPERFRAMES_API_KEY → ~/.heygen/credentials）并把用户项目 zip 上传到 HeyGen 云渲染后端（按 credit 计费），另有 AWS/GCP 自管渲染部署、publish 上传项目源码、feedback 到公开渠道、--file-issue 公开最小复现。按范式「为自身声明用途读凭据 / 把用户素材送外部服务后端（含消耗账号额度）」落橙；同批先例 media-use / product-launch-video（读 ~/.heygen）同为橙。触发条件明确：只有走 cloud / lambda / cloudrun / publish / auth / feedback 这些路径才成立，默认本地循环（init / add / catalog / lint / check / preview / render）不出网。降档理由：目录内无脚本执行、telemetry 可关且自述只做存在性探测、反馈有脱敏与同意条款、本地与自管路径的责任边界写得清楚。未见 TLS 降级、反修复/反自动化绕过、任意代码执行 → 不到红。
5第二遍独立确认
- [ok] 凭证读取是否真发生在该 skill 目录内（橙档判定关键） — 目录内无任何代码（11 个文件全 md），故严格意义上「读取」由官方 CLI 执行；橙档依据是**声明面**：cloud.md 明写凭证解析顺序 HEYGEN_API_KEY → HYPERFRAMES_API_KEY → ~/.heygen/credentials，SKILL.md 又把 auth/cloud/lambda/cloudrun/publish/feedback 列为本 skill 统领的命令。与同批 hyperframes-cli 之外的 figma（FIGMA_TOKEN）保持同一口径，并在 reason 里注明执行主体。
- [ok] SKILL.md 里的 hyperframes.heygen.com 链接是不是被当作端点调用 — 该 URL 出自「Search the catalog before writing motion by hand」段落，是 catalog 搜索的**说明页引用**（句末带句点，形如文档链接），不是命令参数；同段明确写搜索本身 entirely local、查询文本 never sent anywhere。故按范式归为文档引用，不计入外发面。
- [ok] 云上传是否真是「用户素材出网 + 消耗额度」，且是否有幂等风险提示 — cloud.md 的渲染流水线写明 zip → 直传 S3 → POST /v3/hyperframes/renders → 轮询 → 下载，并直说「you pay per credit」；同文另给安全重试条款：zip 上传非幂等，盲重试会重复计费，故须 --idempotency-key。声明与风险提示齐备，未夸大。
- [ok] feedback / telemetry 的隐私表述是否有反例 — preview-render.md 有专门的脱敏段落（剥离绝对路径、机器标识、密钥，保留 HF_*/PRODUCER_* 变量原名），并给 COMPOSITION_STRUCTURE 的「无路径/无 src URL/无用户文本」定义；upgrade-info-misc.md 说明 telemetry 指纹只做存在性探测、从不读环境变量取值，且提供 telemetry disable 与 HYPERFRAMES_NO_TELEMETRY。未发现与声明矛盾之处。
- [unlocatable] 是否漏网的高危行为（关沙箱/TLS 降级/绕过检测） — 对 keywords（sandbox / danger / no-verify / AutomationControlled / NODE_TLS / rejectUnauthorized）做全目录扫描均无命中；但本 skill 不含代码，真实执行细节在 packages/cli 内、不属于本 skill 目录，故只能声明「本目录未出现」，不能替 CLI 整体背书。
6结论
适合：适合把 HyperFrames 项目从零做到交付的人/agent：脚手架与站点捕获、用自然语言找现成积木、按 lint/check/snapshot 的节奏迭代与取证、需要时切到容器或云端渲染（HeyGen 托管或自管 AWS/GCP）、发布与版本升级、以及在 Studio 里协作时用 history 按回合接续他人改动。也适合只想查「现在时间线上到底有什么」的场景（timeline --json）。
不适合：不适合：① 不想让项目出网或不愿消耗云端额度者（应只用本地 render）；② 没有 Node 22+/FFmpeg/浏览器环境且不愿装云的场景；③ 只想做单个动效、不需要整条工程循环的人（应直接看对应工作流 skill，如 /motion-graphics、/product-launch-video）；④ 需要把渲染产物做精细艺术指导的人（本 skill 是工具面，不含设计/叙事规则，那些在 hyperframes-core / hyperframes-creative）；⑤ 在受限 CI 里希望「退出码即健康」的人——doctor --json 永远退 0，必须 gate payload。
安装 agent 直装可复制
① 本站镜像 更新 2026-09-28
方式 A · 人下载镜像包下载 hyperframes-cli.tar.gz
sha256:
方式 B · JSON 格式安装指南，复制给 agent9d841064257cece2…agent 读 JSON 指南后会自动从本站下载安装，无需更多说明。
② 上游 GitHub · 原始来源
来源信息 GitHub 原始
作者 / 仓库heygen-com / heygen-com/hyperframes
原始 GitHubheygen-com/hyperframes ↗
Stars44283
最近推送2026-09-06
本 skill commit
d2f0bc7f34许可Apache-2.0（仓库根 LICENSE 为 Apache License Version 2.0；池内值亦为 Apache-2.0）
本站信息
收录日期2026-09-06
分类内容创作
侦查报告AI 侦查 · 2 遍 · 2026-09-06
本站镜像与 GitHub 原始是不同来源：本站锁定 commit 快照经 /r2 分发；GitHub 为实时上游，内容可能已更新。