xhs-scraper

代码整体实现的是小红书搜索结果抓取，未显示明显恶意目的或隐蔽外传行为。但 KEYWORD 直接拼接进 python3 -c 命令构成可利用的本地命令注入漏洞，攻击者若能控制关键词即可执行脚本运行用户权限下的命令。应改为通过 Python 参数或标准输入传递关键词，避免 shell 拼接；同时应校验数值参数和输出路径，并对 Markdown 内容进行适当处理。