TweetAPI 只读工作流
在保持操作只读、凭证位于服务器端以及配额使用明确的前提下，使用 TweetAPI 获取公共 Twitter/X 数据。
强制安全边界
- 仅允许执行检索公共数据或公共文档的操作。
- 不得发布、回复、删除、点赞、转发、收藏、关注、取消关注，或更改个人资料、列表及社区状态。
- 不得访问私信、收件箱、通知、私人账户分析、计费、API 密钥管理、管理或内部端点。
- 不得执行 Twitter/X 登录或会话自动化。
- 绝不请求、接受、存储或转发密码、cookies、
authToken、ct0、TOTP 验证码、代理凭证或私信内容。 - 绝不调用需要上述任何秘密的端点，即使该端点出现在更广泛的公开 API 文档中。
- 不要将 HTTP 方法视为安全的充分证据。请确认操作的实际效果及所需字段。
- 不得声称与 X Corp. 有关联。TweetAPI 是一个第三方服务。
如果请求的任务超越了此边界，请解释被排除的操作并提供一个只读的替代方案。不要仅仅因为更广泛的 TweetAPI 产品支持更多操作而削弱此边界。
选择执行路径
当用户希望代理检查文档或执行受限的公共数据查询时，请使用托管 MCP 服务器。优先使用其 OAuth 流程，这样无需在对话中输入 API 密钥。在配置客户端或调用实时工具前，请阅读 references/hosted-mcp.md。
在修改应用程序时，请使用服务器端 REST 或官方 SDK。在编写集成代码前，请阅读 references/integration.md。
对于仅需文档的问题，请直接阅读规范的公开来源，无需发起实时数据请求。当端点名称、参数、响应字段或安装说明需要保持最新时，请务必查阅 references/sources.md。
遵循工作流
- 确定请求是仅需文档、实时查询还是应用程序集成。
- 在选择端点或工具前，对照安全边界检查操作。
- 查阅当前的公开文档，而不是依赖复制的端点目录。
- 对于代理使用，选择 MCP OAuth；对于应用程序代码，选择服务器端 API 密钥。
- 在发起实时请求前，说明会消耗配额。
- 默认情况下，仅发起一次实时工具调用并检索一页数据。
- 返回任何分页游标，而不是自动跟随它。在获取下一页之前先询问。
- 仅将 HTTP 2xx 响应视为成功。清晰呈现认证、配额和验证失败信息。
- 使用模拟或固定数据验证应用更改。除非用户明确授权，否则不要在设置或测试期间消耗实时配额。
控制配额与分页
每次实时数据请求都会消耗配额。重试和后续页面会额外消耗配额。
- 不要自动分页。
- 不要静默重试实时请求。
- 不要仅仅为了证明配置而运行实时“冒烟测试”。
- 在第一页后停止，并暴露返回的游标。
- 如果用户明确请求多页应用程序行为，请为页面、项目和总请求数实现可配置的最大值。切勿使用无限制的分页辅助工具。
保护凭证
- 将
TWEETAPI_API_KEY保存在仅服务器端的环境变量或密钥管理器中。 - 切勿将其嵌入浏览器代码、移动应用包、源代码管理、日志、示例或提示中。
- 仅将
YOUR_API_KEY用作文档占位符。 - 对于兼容的代理客户端，优先使用 OAuth，MCP 服务器地址为
https://mcp.tweetapi.com/mcp。 - 如果响应可能包含用户提供的敏感输入，请在记录前对其进行脱敏处理。
保持来源准确性
公共产品文档涵盖的产品范围比此技能更广。不要推断每个记录在案的端点都是允许的。不要发明 OpenAPI URL、Postman 集合、SDK 方法或 MCP 工具名称。请根据来源参考验证当前详细信息。
当来源不一致时，报告冲突，避免在解决前进行实时调用。