工作流自动化 MCP 推荐

在任何视觉产物开工前产出结构化设计规范（DESIGN.md + 结构布局 + 决策记录）——这一“蓝图”阶段让 AI 生成的设计摆脱模板感。当用户要求设计、规划、做样机或重构任何视觉输出时使用——PPT/幻灯片、落地页、仪表盘、海报、图表、信息图、营销页、UI 组件、原型、插画——即便他们只说“做个关于 X 的幻灯片”或“帮我搭一个 Y 页面”。当用户要求以原则驱动、规格先行的方式（而非表面修饰）批判或改进既有设计时也触发。不要在用户已提供完整 DESIGN.md 且只想写实现代码时触发（交给 frontend-design 或直接实现）。

使用 hadolint、Trivy 和 Grype 审计 Docker 镜像与 Dockerfile 的安全漏洞、臃肿问题和最佳实践违规，输出带严重度分级和可执行修复建议的结构化报告。当用户想检查 Docker 镜像安全问题、扫描容器漏洞、审计 Dockerfile、加固镜像、缩小镜像体积、减少攻击面、查看容器 CVE，或问“这个 Dockerfile 安全吗”“扫描我的镜像”“检查我的容器漏洞”“怎么让镜像更小”“审计我的 Docker 配置”“加固这个容器”时使用。用户刚创建或修改 Dockerfile 并希望出货前验证时也应触发。

构建新 UI 或重塑既有 UI 时提供独特而有意图的视觉设计指引。只要任务产出或修改用户会看到的渲染内容——网站、落地页、Web 应用、仪表盘、React/HTML/Vue 组件、带视觉输出的 artifact、风格 overhaul，或“让它更好看”的请求——即使用户从没说“设计”二字也应使用。涵盖美学方向、字体排印、环境约束（字体、Tailwind、素材），以及何时应归于惯例而非追求独特。

当用户询问 GitNexus 本身——可用工具、如何查询知识图谱、MCP 资源、图 schema 或工作流参考——时使用。示例：“有哪些 GitNexus 工具？”“我该怎么用 GitNexus？”

浏览器自动化——搭建 bsession 环境、一次性从网站获取信息、创建脚本化自动化（一次性或周期性任务），或调试已有会话。可在任意仓库中使用。

浏览器使用核心指南，运行任何浏览器命令前先读。内容包括 snapshot 与 ref 工作流、页面导航、元素交互（click、fill、type、select）、文本与数据提取、截图、标签页管理、表单与登录态处理、等待内容、并行运行多个浏览器会话，以及常见失败问题的排查。当用户要求与网站交互、填表、点击、提取数据、截图、登录站点、测试 Web 应用或自动化任何浏览器任务时使用。

Jest 测试模式、工厂函数、mock 策略与 TDD 工作流。在编写单元测试、创建测试工厂或遵循 TDD 红-绿-重构循环时使用。

审查 UI/前端代码，准确告诉你它为什么“看起来像 AI 生成”——以及如何修复。当 React/Tailwind/HTML 界面看起来怪异、平庸或未完善，或你想在发布前获得设计评分、让 UI 更专业精致时使用。

本 monorepo 的测试实践——在单元与端到端测试之间取舍、测试文件位置、tsconfig.test.json 的角色、如何驱动 Playwright、如何编写/适配 UI/端到端测试，以及该用哪个测试运行器（vitest 还是 jest）。当用户要求添加、编写或扩展测试、补充覆盖率、创建测试文件、在新包里搭建测试、提到 vitest/jest，或引用既有 *.test.ts 文件时，必须先调用本技能再做任何代码搜索或文件读取。同等适用于单元测试与端到端/UI 测试——后者会路由到 Playwright-MCP 优先的探索流程，与常规代码搜索工作流不同。

审查 GitHub PR 中的 UI/UX 改动：启动 MLflow Web 应用，通过无头 agent-browser 操作改动涉及的界面，并为工作流写出一份 Markdown 格式的 UI 审查评论内容（结论与截图）。

审计并修复 Web UI 中的视觉层次、间距、配色与层次感。当用户提到“我的 UI 看起来不对劲”（或业余/不专业）、“修复设计”、“Tailwind 样式”、“色板”、“视觉层次”、“设计系统”、“间距标度”或“组件样式”时使用。也在构建一致的设计令牌、创建深色主题、提升数据可视化清晰度或上线前打磨 UI 细节时触发。覆盖灰度优先工作流、受约束的设计标度、阴影与组件样式。字体选择参见 web-typography；可用性审计参见 ux-heuristics

在提取、格式化、刷新或调查 .cursor-app-formatted 下已安装 Cursor.app 包的只读格式化快照时使用；包括 git-ignore 规则、快照生成工作流，以及只查看格式化代码、不修补快照或已安装应用的规则

从项目源码生成生产可用的 Dockerfile，自动识别语言/框架，并产出基于最小化、distroless 或 slim 基础镜像的多阶段构建。当用户想为应用容器化、创建 Dockerfile、把项目 dockerize、构建 Docker 镜像，或说“让这个应用跑在 Docker 里”“为这个应用创建容器”“我需要一个 Dockerfile”“为部署打包”“把这个服务容器化”时使用。当用户已有 Dockerfile 并希望按生产标准重写，或咨询项目的 Docker 最佳实践时也应触发。

处理 Python SDK 的发布、构建、版本号提升、打包元数据、PyPI 客户端版本锁定、uv.lock、nox 与构建工作流，以及发布校验相关的改动。用于 Python 发布流程工作或依赖版本调整；常规 Python 特性实现不要使用。

本仓库的 Codacy Cloud 工作流——在 `git push` 前本地运行 Codacy 分析器（对齐 Codacy CI 行为），并经 v3 API 拉取/聚类任意 PR 的 Codacy 问题。当用户提到 Codacy、「codacy analysis」、`codacy-analysis-cli`、「codacy issues on PR」「fix codacy CI」「codacy markdownlint findings」，或 netdata-org PR 上任何 Codacy 门禁失败时使用。附带脚本 analyze-local.sh（codacy-analysis-cli 的 docker/二进制运行器）与 pr-issues.sh（分页 v3 问题拉取 + 按工具/模式/严重级/文件分组）。令牌安全——CODACY_TOKEN 绝不进入助手可见的 stdout。按设计只读；写操作（标记误报、标记已修复）需要 GitHub issue 或分支本地 SOW。

把 browser-use（Python）浏览器自动化脚本迁移为 Browserbase 上的 Stagehand v3（TypeScript）。当用户想转换、移植、重写或迁移 browser-use Agent 脚本到 Stagehand、把 browser-use 特性/API 映射到 Stagehand 原语（act/extract/observe/agent），或在 Browserbase 上构建更具确定性的智能浏览器自动化时使用。触发词：「browser-use」「browser_use」或「Agent(task=...)」。

开发 RomM Python 后端（backend/）——基于 FastAPI，配合 SQLAlchemy 2.0、Alembic、RQ/Redis 与 Socket.IO。在添加或修改 API 端点、handler、ORM 模型、响应 schema、元数据 provider 适配器、后台任务、数据库迁移或后端测试时使用。涵盖分层架构、约定、认证/scopes、OpenAPI→前端类型流水线，以及 uv/pytest/alembic/trunk 工作流。任何对 backend/ 下的工作都会触发。

在本地端到端调试 signals 管线。涵盖从 fixture 发出测试 signal、经 REST API 监控 Temporal 工作流、从对象存储读取沙箱代理日志、检查 Docker 沙箱容器，以及诊断常见故障（陈旧的 ClickHouse embeddings、agentsh 网络拒绝、不活动超时）。当 signal 未送达收件箱、signal-report-summary 工作流失败或沙箱任务运行超时时使用。

构建高质量 MCP（Model Context Protocol）服务器与工具的指南：MCP 是什么、如何面向 agent 易用性设计 tools/resources/prompts，以及用 TypeScript 或 Python 实现服务器。当你需要 MCP 最佳实践、服务器架构模式或分步构建工作流（含语言偏好）时使用。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

为学生或初级工程师从 GitHub 上寻找合适的传统软件后端或业务级 AI 智能体项目，评估简历价值并生成 Markdown 简历撰写包。当用户请求选择后端项目、Java/Spring 项目、分布式系统项目、完整 AI 智能体业务项目、多智能体系统、LLM 应用、用于简历的 GitHub 项目，或想把所选项目转化为简历要点/面试谈资时使用。支持模式：仅 agent、仅后端、混合、稳妥模式、挑战模式；未指定模式时先询问用户再搜索或推荐。后端推荐默认排除 IoT、嵌入式、硬件集成、设备管理与工控平台，除非用户点名。同时避免简单浏览器扩展、薄封装 LLM 套壳、浅层 AI 插件与浏览器自动化库，除非用户点名。

设计深层模块的共享词汇。当用户想要设计或改进模块接口、寻找深化机会、决定接缝位置、让代码更易测试或更易被 AI 理解，或其他技能需要深层模块词汇时使用。

关于写好、改好技能（skill）的参考——让技能行为可预测的词汇与原则。

通过将 GitHub Actions 升级到受支持的运行时：挑选安全的 action 版本、保持工作流行为、验证升级后的执行。

面向 AI Agent 的浏览器自动化 CLI。当用户需要与网站交互时使用，包括打开页面、填写表单、点击按钮、截图、抽取数据、测试 Web 应用或自动化任意浏览器任务。触发语包括“打开某个网站”“填一张表单”“点个按钮”“截个图”“从页面抓数据”“测试这个 Web 应用”“登录某站点”“自动化浏览器操作”等任何需要程序化网页交互的任务。

用结构化的 5 天流程制作原型、测试并与真实用户一起验证产品想法。当用户提到 “design sprint”、“validate in a week”、“rapid prototype”、“test with users”、“de-risk before building”、“GV sprint”、“prototype testing” 或 “design workshop” 时使用。也可在团队需要快速做出关键产品决策、化解各方分歧，或在投入开发前先验证高风险想法时触发。覆盖梳理、草图、决策、原型与测试。持续实验见 lean-startup，用户任务分析见 jobs-to-be-done。

应用基础设计原则：可供性、示能符、约束、反馈与概念模型。当用户提到“为什么这么让人困惑”“affordance”“error prevention”“discoverability”“human-centered design”“fault tolerance”“mental model”“mapping”或“seven stages of action”时使用。也可在诊断用户为何出错、降低产品复杂度、改进错误提示与反馈系统时触发。覆盖执行鸿沟与评估鸿沟。可用性评分见 ux-heuristics，iOS 专项模式见 ios-hig-design。

审计并修复 Web UI 的视觉层级、间距、配色与层次感。当用户说“我的 UI 看着不对劲”“修一下设计”“Tailwind 样式”“配色方案”“视觉层级”“设计系统”“间距刻度”“组件样式”时使用。也可在构建一致的设计 token、编写深色主题、提升数据可视化清晰度，或上线前打磨 UI 细节时触发。覆盖 grayscale-first 工作流、受约束的设计刻度、阴影与组件样式。字体选择见 web-typography，可用性审计见 ux-heuristics。

在完成功能、修复缺陷、提交 React 代码前，或用户输入 `/doctor`、要求扫描、分诊或清理 React 诊断信息时使用。覆盖 lint、无障碍、包体积与架构。包含回归检查，以及会拉取权威 playbook 的完整本地分诊流程。

针对 GitHub Actions 工作流文件（.github/workflows/*.yml）的安全加固评审。分析模式匹配器和通用代码 linter 会漏掉的 Actions 威胁模型——不可信输入的脚本注入、高权限触发器运行 fork 代码、可变的 action 引用、权限过大的 token。当被要求评审、审计、加固或保护 GitHub Actions 工作流、编写新工作流，或遇到"这个工作流安全吗""帮我查 CI 安全问题""这里 pull_request_target 为什么危险""帮我 pin actions""收紧 GITHUB_TOKEN 权限"等请求时使用。覆盖 ${{ }} 插值脚本注入、pull_request_target/workflow_run 权限提升、第三方 action 的 SHA 固定、最小权限、GITHUB_ENV/GITHUB_OUTPUT 注入、密钥暴露、OIDC 与长期凭据、公共仓库自托管 runner 的暴露风险。

面向漏洞赏金的移动应用渗透测试（Android APK + iOS IPA）——运行时优先流程：安装应用、经 Burp/mitmproxy 代理、驱动 UI、抓包，然后完全像 Web 目标一样测 API；仅当流量被 SSL pinning、加密或缺失时才升级到反编译（apktool/jadx）与 Frida/objection。涵盖通过 APK/IPA 反编译挖掘硬编码密钥 + 隐藏 API 端点 + Web 端从不暴露的 base URL、导出 Activity 与 deeplink intent 注入、WebView addJavascriptInterface 桥滥用、SSL pinning 绕过（objection patchapk / Frida CertificatePinner + checkServerTrusted hook）、用 OkHttp 拦截器链还原请求签名、JNI native-lib 初查，以及 apktool/grep 快速扫描密钥与端点。当项目范围含移动应用、Web 侦察陷入僵局需要新攻击面，或流量被 pinning 必须做 MitM 时使用。

当用户询问 GitNexus 本身——可用工具、如何查询知识图谱、MCP 资源、图 schema 或工作流参考——时使用。示例：“有哪些 GitNexus 工具？”“我该怎么用 GitNexus？”

资深数据库管理员，精通现代云数据库、自动化与可靠性工程。掌握 AWS/Azure/GCP 数据库服务、基础设施即代码、高可用、容灾恢复、性能优化与合规。处理多云策略、容器化数据库和成本优化。在数据库架构、运维或可靠性工程方面主动使用。

CursorQB 流程中带关卡的第 4 步（目标驱动）—— 从已审计的计划中实现一个范围受限、可回滚、可验证的小切片。在第 3 步审计通过后、用户批准实现时使用，或通过 /cursorqb-implement 调用。仅当审计结果为 PASS 或 PASS_WITH_WARNINGS 且不存在 P0/P1 问题时才运行；否则会停止并建议先修复。挑选单个 READY 子计划，先定义校验命令，做最小改动，并在声称完成前先验证。

CursorQB 规划流程的第 2 步（目标驱动）。把 Planner-docs/Main-Planing.md 中的每个主阶段拆解为 Planner-docs/Faz-<n>-Plans/ 下的详细子计划，并生成 Sub-Planing-Index.md。由 define-goal 技能作为 Cursor 目标自动启动，会一直运行直到覆盖所有阶段 —— 不会做完一个阶段就停下。可从 cursorqb-planner 的关卡 1 调用，或直接调用来（重新）生成子计划。只改动 Planner-docs/ 下的文件。

CursorQB 规划流程的第 1.5 步（目标驱动），对既有项目做体检。在第 1 步之后（或直接）使用，检查已有或部分完成的仓库并写出 Planner-docs/Autopsy.md —— 一份 13 节的技术反馈报告，用于充实第 2 步的子计划。对非空的既有仓库会自动执行，空或近乎为空的仓库则跳过。由 define-goal 技能作为 Cursor 目标自动启动；只会创建/更新 Planner-docs/Autopsy.md。

CursorQB 规划流程的第 3 步（目标驱动），对第 2 步的子计划做质量、覆盖度、一致性与就绪度审计。用于校验 Planner-docs/Faz-*-Plans/*.md 与 Sub-Planing-Index.md 是否忠实于 Main-Planing.md、是否完整、有序、结构良好且可实施。由 define-goal 技能作为 Cursor 目标自动启动，会持续到每个阶段与子计划都被检视完毕；仅生成 Planner-docs/Sub-Planing-Audit.md 并返回 PASS / PASS_WITH_WARNINGS / BLOCKED。单独运行以复审也是安全的。

为 Vulhub 项目添加新的漏洞复现环境的指南。当用户想要添加新的 CVE 环境、创建漏洞 Docker 实验、为 vulhub 贡献新漏洞、撰写 vulhub 漏洞文档，或为某漏洞环境创建 docker-compose.yml / Dockerfile / README 时使用。当用户提及要添加的特定 CVE、询问 vulhub 贡献流程，或想搭建可复用的利用环境时也触发。

通过 Chrome/Chromium CDP 做浏览器自动化——打开、快照、点击、截图。用于测试 Web 应用、移动端布局与自动化交互，无需 Playwright/Puppeteer。

证据优先的 ECC Tools 消耗与计费审计工作流。用于调查 ECC Tools 仓库中失控的 PR 创建、配额绕过、高级模型泄漏、重复作业或 GitHub App 费用激增。

在创建新 skill 之前，先搜索本地、市场、GitHub 和网页上已有的 skill。当用户想为某个流程创建、构建、fork 或寻找 skill 时使用。

把通知当作一条 ECC 原生工作流来运维，覆盖 GitHub、Linear、桌面提醒、hook 和已接入的通信界面。当真正的问题在于告警路由、去重、升级或收件箱爆仓时使用。

ECC 中证据优先的收入、定价、退款、团队计费与计费模型核实工作流。当用户需要销售快照、定价对比、重复扣费诊断，或需要基于代码的计费真实情况而非泛泛的支付建议时使用。

审查预测市场、资产组合、预言机与交易 Agent 相关流程在合规、安全、数据质量、隐私和执行方面的风险。在任何流程涉及交易平台授权、用户持仓数据、API 密钥或交易规划之前使用。

Langfuse 用户可见前端变更的浏览器审查共享流程。当改动影响 UI 行为、布局、样式、导航或可能造成浏览器中可见的回归，需要在签署前用 Playwright MCP server 检查时使用。

基于 OpenAPI/Swagger 规范，使用 mcp-use TypeScript SDK 构建并部署 MCP 服务器。当用户想“把这个 OpenAPI 规范变成 MCP 服务器”“让 Claude/ChatGPT 能用上这个 API”“把 Swagger 文档包装成 MCP tools”“向 LLM 暴露这个 REST API”“从规范生成 MCP tools”，或粘贴/附上 openapi.yaml、openapi.json、swagger.json 并索要 Claude 兼容版本时使用。即便用户没有说 “MCP” 也触发——只要他们描述了一个既有 HTTP API（REST 端点、内部服务、有 key 的第三方 API）并希望 LLM 调用它，就该用本技能。涵盖规范摄入（文件路径、URL 或粘贴）、operation 到 tool 的映射、认证接线（apiKey、bearer、basic、OAuth bearer）、用 create-mcp-use-app 脚手架、生成带合适 zod schema 的 tool、在 mcp-use inspector 中实时测试，以及部署到 Manufact / mcp-use cloud。

将 nao 项目的上下文目录连接（接线）到远程 nao 实例（云端或自托管），使每次推送到 `main` 分支都通过 GitHub Actions 自动执行 `nao deploy`。当用户已有本地版本化（Git 管理）的 nao 项目、并希望团队部署的实例始终反映最新提交的上下文时使用。涵盖 `nao deploy` 用法、GitHub Actions 工作流、组织 API 密钥、GitHub Secrets、`.naoignore`、`nao_config.yaml` 中的环境变量引用，以及新建与更新的行为差异。不适用于首次项目搭建（请用 `setup-context`），也不用于把仓库元数据回写提交的 `nao sync` 自动化（见文档 synchronization 页面）。

为 Claude Code、Codex、Gemini CLI、Cursor、OpenClaw 提供 37 个高级工程 agent 技能的索引。用于浏览或选择 POWERFUL 层级的工程技能：agent 设计、RAG、MCP 服务器、CI/CD、数据库设计、可观测性、安全审计、changelog/release 自动化、可靠性（SLO/chaos/flags/operators）、平台运维。