soia-pkm-library-book-catalog

总体偏可疑而非恶意。核心功能与“本地 Obsidian 书库整理”基本一致，数据流也主要停留在本地；但安装说明包含技能到技能的安装链，并建议使用带 `-a '*'` 的宽权限 `npx skills add`，这对声明的纯本地整理任务不成比例，构成主要风险。