Zoom 会议管理助手

要解决什么问题

在 Agent 里直接拼 Zoom REST 请求，很容易越权：任意 DELETE /users/{id}、改账户配置，或把 ZOOM_CLIENT_SECRET 带进对话上下文。本技能把调用面收窄到白名单 Action，用 scripts/zoom-s2s.py 走 Server-to-Server OAuth，机器对机器拿 Token，不做人机授权页。

如何工作

• 凭证：从仓库根目录 .env 读取 ZOOM_ACCOUNT_ID、ZOOM_CLIENT_ID、ZOOM_CLIENT_SECRET、ZOOM_USER_ID；Token 缓存在 ~/.zoom-s2s-token.json（约 50 分钟，脚本会 chmod 600）。
• 网络：仅向 https://zoom.us/oauth/token 与 https://api.zoom.us/v2/* 发 HTTPS 请求，带 Authorization: Bearer。
• 允许的操作：会议 list_meetings / get_meeting / create_meeting / delete_meeting；用户 get_user / list_users；录像 recordings。脚本不导出通用 api_call，不能旁路未列出的端点。
• 人类确认：create_meeting、delete_meeting 执行前需显式确认；删会还须 --yes。
• 周期性会议：type=8 时 weekly_days 必须是字符串（如 "6" 或 "6,0"），传数组会报 300。

边界与注意点

.env 与 Token 缓存等同于账户级口令：勿提交 Git、勿在 CI/共享机复用、建议单独建 S2S App 并按表开最小 Scope（删会、云录像、list_users 等写/敏感读权限谨慎开启）。Scope 未开齐会在 API 层报错（如 4711）。泄露后应在 Marketplace 轮换 App 并删除本地 Token 缓存。