ARTICLE · 1295193

AI 自动剪片工具 3060 条测试全绿,142MB 字体却写着微软版权

发布时间：2026-11-02 10:37:50 最近访问：2026-11-02 10:37:50

一句话输进去，十分钟后手上多一条竖屏短视频——脚本、配音、字幕、背景音乐、素材拼接全自动。这个叫 MoneyPrinterTurbo 的开源项目有 13.7 万 Star，是 GitHub 上最火的「AI 自动剪片」工具。

我把它的全部测试跑完了（3060 条通过、152 条跳过、零失败），又在自己的机器上真生成了一条 1080×1920 的成片。它确实能出片，而且出得对。但它也是我评测过的项目里，许可证和合规问题最扎手的一个：仓库里塞着微软雅黑的字体文件，背景音乐是作者自己承认从视频网站扒下来的。

它到底做了什么

传统做法是：写文案、找素材、录配音、对字幕、混音、导出，六个软件来回倒。这个项目把六步压成一次点击。

流程是这样串的。先调一个大模型写脚本，从这个脚本里再抽出几个关键词，拿关键词去图库搜视频素材。接着用微软的在线语音服务把文案念出来（这一步不要钱，也不用申请密钥），再让字幕跟着这段语音的节奏走——哪一句在第几秒，全部按配音的实际语速算。最后自动挑一首背景音乐，用视频处理软件拼成一条成片。

三个入口都通：网页界面（用 Streamlit 搭的）、命令行、以及一个标准的接口服务。对普通用户最友好的是 Docker 一键跑，或者 pip install mpt 之后敲一句命令。

规模上，仓库里 333 个 Python 文件、10.07 万行代码，其中测试代码占 5.7 万行，比业务代码还多。13.7 万 Star、2.19 万次分叉、22 个正式版本，最近一个月还提交了 184 次——这是个真在维护的项目，不是发了就走的展示品。

实测一：3060 条测试，零失败

先把环境边界说清楚。我用它的依赖锁定文件装了 131 个包，跑在 Python 3.13 上；没有装 Redis（它支持的可选任务队列），也没有装系统级的视频处理工具（它自带一个）。

然后跑完整测试：3060 条通过、152 条跳过、12874 条子用例通过，零失败，用时 19 分 45 秒。

这个数字本身不稀奇，稀奇的是它测的东西。很多项目的测试是拿假数据糊一遍——把下载、配音、渲染全换成假的，只测「函数被调用了」。这个项目里有 13 个测试文件会真的调用视频工具、真的渲染出视频再检查画面像素。它的覆盖率门槛设在 70%，而且是「分支覆盖」——不只是「这行代码跑过没有」，还包括「这个判断的另一条岔路走过没有」。

测试里也不是全绿到底：有 152 条被跳过。这些跳过的多半是需要真实付费密钥的在线服务（图库、付费语音、付费视频生成），代码里留着这些测试，有密钥就能跑，不是删了了事。

实测二：一条视频真的生成了

光看测试不算数。我用自己造的一段测试画面当素材，加上它默认的免费配音，跑了一条竖屏视频。

结果：时长 6.27 秒、分辨率 1080×1920、视频编码 h264、音频编码 aac、30 帧每秒，字幕两句，时间轴和语音对得上。

有个细节值得说。它先用配音算出「这段话要讲多久」（6.24 秒），再倒推出「需要多少段素材」和「每段切多长」，最后还多留了 0.1 秒的安全余量。很多人做视频的痛点是「画面放完了声音还在响」或者反过来，它从设计上就把这件事解掉了。

整条流程耗时 2 分 45 秒，其中配音那一步是真实联网调的。

实测三：默认配置下的两个安全问题

第一个是监听地址。配置模板里默认写的是「监听所有网卡」，同时接口密钥是空的。

这意味着什么？我在本地起了服务，没带任何密钥，直接发一条「生成视频」的请求——它返回 200，任务直接进队列了。任何能连到这台机器的人，都能白嫖你的接口额度。启动日志里确实有一行警告，Docker 配置也把端口绑在了本机回环地址上，但如果你是直接 python main.py 起在云服务器上，这道门就是开着的。

第二个是素材下载没有目标限制。它会拿接口返回的地址去下载素材，但没有校验「这个地址是不是内网」。实际用的时候地址都来自图库和云存储，被利用的概率不高，但这属于「没设防」，不是「防住了」。

好的方面也要说：我试了三种攻击方式都没进去。往文件下载地址里塞 ../../etc/passwd，返回 403；换成编码后的写法，也是 403；命令行里传 /etc/passwd 当素材，在参数解析那一步就被拒了。接口密钥的比对用的是恒定时间比较（防止通过响应快慢猜密钥），重复发送同名密钥头会被直接拒绝。凭据文件写在权限 700 的目录里，先写临时文件再原子替换。这些细节做得比很多商业项目还扎实。