email-invoice-processor

代码整体表现为邮箱发票归档工具，未发现明确恶意载荷、凭据外传、反向连接、命令执行或持久化行为。存在中等安全风险：邮件正文和二维码可控制网络请求目标，可能导致 SSRF、恶意网页访问或下载；此外，提取字段直接写入 Excel，存在潜在公式注入。建议限制允许访问的域名和 IP 范围、校验所有重定向、禁用或隔离不必要的浏览器脚本，并对写入 Excel 的字符串执行公式前缀转义。

未提供实际发票处理源代码，因此无法判定其中是否存在恶意行为。文档本身没有明显恶意载荷，但存在明显的凭据管理和隐私风险：要求将邮箱授权码交给 AI，并以明文写入本地配置文件；同时处理邮件附件和外部链接，扩大了不受信任输入的攻击面。应在审查 process_invoices.py 后再运行，并改用安全凭据存储和严格的下载、文件及网络访问限制。