AI PROCUREMENT · TAOBAO / GOOFISH
淘宝官方桌面版已有 MCP / CLI 接入与采购助手。优先验证官方能力，再用采购 skill 统一整理清单；闲鱼先整理用户提供的候选资料。
证据范围：官方公告与桌面版更新日志、现行法律声明、GitHub README / Issues、GitHub API 当前快照、部分源码静态核对，以及一次 Shopme 公共搜索请求。没有安装官方桌面版或运行上述第三方 MCP，没有使用购物账号验证搜索、价格或交易。源码能力、作者自述、第三方体验和本次实测分别标注。
| 方案 | 已证实的定位 | 对采购清单的作用与边界 |
|---|---|---|
| 淘宝官方桌面版 | 官方更新日志：V2.5.0 支持 AI 插件配置；V2.5.1 明确提及 MCP 一键配置和 CLI；V2.0.0 发布采购宝 Beta，可输入需求 / 上传 Excel 并生成采购报告。 | 淘宝端应优先验证此路线，可能直接满足部分采购需求。官方公布过能力不等于当前所有账号可用；必须回读客户端授权、实际工具列表和具体 SKU 数据。本次未安装或登录实测。官方更新日志 · 官方下载页 |
| 千问 App / 淘宝千问购物助手 | 阿里官方 2026-05-11 公告：接入淘宝、天猫商品目录，支持对话发现商品、比较与购物服务。 | 适合作为淘宝选品入口。本次官方公告没有证明覆盖闲鱼、京东或提供可供个人 Codex 调用的通用购物 MCP；不能据此承诺跨平台清单。来源 1 |
| 慢慢买 | 官网提供全网比价、历史价格等购物助手，并列出淘宝、京东等商城。 | 适合补充历史价与促销信息。本次没有核实闲鱼覆盖或可直接使用的官方 MCP；历史价不代替当前所选 SKU 报价。来源 2 |
以下是技术实现参考，不是官方授权证明。浏览器自动化项目须先满足平台授权条件；有代码不等于适合用于个人主账号。可按平台筛选或搜索名称。
带采购 skill；源码有搜索、SKU 与价格关联、评价和 XLSX 导出，能作为淘宝端的实现参考。
优点：SKU 表与商品、评价分表，处理多规格比较。
缺点：仅淘宝 / 天猫；导出的比较表仍需补需求数量、运费和最终推荐。深度价格读取超过 24 个 SKU 会跳过，部分读取失败可能保留原价格，接入时必须记录每个价格的口径。
开放 Issue #1（2026-08-16）有一位使用者报告核心流程可用，也提出 XLSX 文本注入和依赖兼容问题；这是一条第三方体验，不能代表稳定性。查看 Issue。仓库未检出 LICENSE，复制或分发代码前需确认授权。
本地 Playwright 浏览器工具，搜索和提取商品、店铺、参数、部分评价；源码默认阻止购买、加购等动作。
优点：一次接入可提供淘宝和京东的数据入口；有独立浏览器资料目录。
缺点：不覆盖闲鱼；读取价格字段不等于完成所有 SKU 的匹配与最终到手价确认，仍需采购 skill 组织核对和导出。
搜索标题、价格、商品链接和卖家 ID；提供发送询价、批量询价和读取会话工具。
优点：面向买家，有询价与回复整理入口。
缺点：搜索代码缺价时设为 0；成色、维修史、配件和库存数量没有完成可信核实。发送工具没有独立确认参数，不能将所有工具直接开放给只做调研的采购流程。若取得平台许可再验证搜索；当前先整理用户提供的候选，询价只生成草稿。
免 API key 的客户端，源码将搜索和详情请求发往第三方统一商品数据库；列出的平台是淘宝、天猫、小红书。
优点：接口有结构化商品和 SKU 字段，不要求交出个人购物 Cookie。
缺点：无闲鱼；数据来源、覆盖和刷新情况需要额外核实，查询会发送至第三方服务。
本次对公开搜索端点发送一条普通关键词请求，返回 HTTP 403；只证明此次访问失败，无法判定是服务权限、请求策略还是网络环境。不能当作当前可用方案推荐。
设计为淘宝联盟、京东联盟、多多进宝的统一搜索、优惠券和比价接口。
优点：平台适配器与商品结构分离，适合参考多源数据模型。
缺点：需要联盟凭据和实际接口权限；不覆盖闲鱼。源码在缺凭据时自动生成模拟商品，不能把安装后的“有结果”当成真实报价。
若未来验证此路线，必须禁用采购流程中的模拟结果，逐个平台证明真实 API 返回、数据覆盖和所选 SKU 价格；本次未验证。
提供议价流程与话术，依赖另一个 taobao-native CLI 和第三方 MCP 获取商品信息。
优点：可参考询价草稿的组织方式。
缺点：检查到的 price_monitor.py 主要记录传入价格、分析本地历史和文本提价，没有独立实现全网商品搜索。不能仅安装这个 skill 就获得淘宝 + 闲鱼比价能力；文中的节省比例未见实测依据。
my-procurement 是建议的入口名称，本次未创建或安装。它负责跨平台采购方法，数据来自实际开放的官方接口或用户提供的脱敏资料。
第一版主路径：淘宝先验证官方桌面版的采购宝、MCP / CLI 及其授权入口，在实际开放的权限范围内取候选。闲鱼先由用户搜索并提供脱敏的商品描述、所选型号价格、截图或报价；skill 负责比较与清单。优点是避免把登录凭据交给来源不明的爬虫；缺点是官方能力和权限仍需实测，闲鱼候选收集需要人工参与。
后续接入：仅在确认平台许可、接口权限与真实返回后接入自动采集。官方联盟 API 与官方本地 MCP 是不同的授权渠道；第三方将 API 包成 MCP 不会自动增加权限或数据覆盖。保持同一份采购清单格式。
浏览器与 MCP 的共同限制：工具不会自行保证“同款”。标题相似只能作为候选，必须核对型号、接口、尺寸、套装内容和成色。网页推荐排序和样本最低价都不能代表全市场最低价。
淘宝、闲鱼现行声明明确限制未经书面许可的第三方智能体 / 自动化访问，包含搜索和浏览，并禁止隐匿身份与规避验证。低频、只读、使用真实 Chrome 都不构成授权。账号处置概率没有可靠数据，不能承诺不会受限或被封号。具体官方接入以客户端许可和实际权限为准。
| 清单字段 | 记录要求 |
|---|---|
| 物品 / 用途 / 数量 | 区分需求件数、每包件数、购买包数；套装列明内含物。 |
| 指定型号 / SKU | 保存商品 ID、SKU 标签或 ID、平台、店铺与商品链接。 |
| 价格 / 运费 / 优惠 | 区分标价、所选 SKU 页面价、卖家报价和用户确认的结算价；运费未知不能填零，条件优惠单独列。 |
| 全新 / 二手证据 | 卖家描述与已确认事实分开；二手记录维修史、故障、缺件、测试证明和售后待确认项。 |
| 推荐 / 备选 / 待询价 | 说明满足哪些要求、为何推荐、什么情况下换备选；关键字段缺失时保持待确认。 |
| 合计与时效 | 商品合计按购买单位计算，运费按订单或卖家核对避免重复；显示已知金额与待确认费用，不用未知项计算虚假的完整总价。 |
| 来源与时间 | 每条报价附观察时间和可回读链接；报价变化或下架后重新核验。 |
最终交付三份内容：采购清单（推荐与备选）、候选比价表（包含淘汰理由）、待确认与询价草稿。保存为本地 Markdown / CSV / XLSX；实际报价、聊天和采购记录默认保留本地。
示例调用（目标描述，不是已经安装的命令） /my-procurement 采购：2 个 USB 摄像头，供 macOS 使用。 硬要求：UVC、1080p、明确尺寸；数量按单个计算。 比较淘宝全新与闲鱼二手，总预算和收货区域另行给出。 交付：推荐清单、备选、含运费估算、型号依据与待确认项。 通过实际开放的官方接口或我提供的脱敏资料取候选；询价输出草稿。
实验失败时定位具体环节：访问失败、价格提取错误、规格匹配错误或清单计算错误。验证码交回用户处理；没有验证成功的数据入口不能承诺自动完成。
Skill 规定如何比较和输出；MCP 是 AI 调用工具的接口协议，不自带官方授权、安全隔离或“不封号”保证。实际风险由执行程序、登录态、工具权限及返回给模型的数据决定。
| 执行方式 | 原理 | 信息与权限边界 |
|---|---|---|
| 官方桌面 MCP / CLI | AI 调用官方客户端开放的工具，由客户端处理购物能力。 | 优先核验官方授权入口、读写权限和模型可见字段。官方来源不等于可给 AI 开放所有订单、聊天或支付动作。 |
| 第三方浏览器自动化 | Playwright 操作登录后的网页，提取 DOM / 页面数据，有的还调用网页内部接口。 | xianyu-buyer 的 auth.py 将 Cookie 写成未做应用层加密的 JSON。独立 profile 能减少混用账号，本身不是系统隔离；源码中写“只读”也不能约束恶意程序。 |
| 官方联盟 API | 使用应用密钥、签名和接口权限查询。 | 密钥需保护，访问范围受授权限制。该路线与导入个人购物 Cookie 不同；MCP 包装本身不扩大权限。 |
| 第三方数据服务 | 向服务商发送关键词或商品链接，由其数据库返回数据。 | 本次 Shopme 客户端无需个人 Cookie，但服务商会收到查询；来源、刷新和许可仍需核验。 |
Cookie 可理解为登录后的通行凭证；即使不泄露密码，泄露会话也可能造成账号冒用或信息访问。支付是否还需独立验证取决于具体流程，不能因支付有校验就忽略会话泄露。
本地运行不等于数据完全留在本地：工具返回的页面、订单或聊天若进入云端模型上下文，相应内容也会传给模型服务。采购流程只应返回所需商品字段，避免读个人订单、地址和无关聊天；Cookie / token 不进入模型、日志、Git 或公开报告。本次仅做过部分源码检查，未完成完整安全审计。
截至 2026-10-14。star 与最近推送时间来自 GitHub API，仅作规模与活跃度快照，不当作质量评分；README 和 Issues 是作者或使用者的报告。本报告检查了部分源码，没有完成整体安全审计或登录后的端到端验收。