工作流自动化 MCP 推荐

本仓库的 Codacy Cloud 工作流——在 `git push` 前本地运行 Codacy 分析器（对齐 Codacy CI 行为），并经 v3 API 拉取/聚类任意 PR 的 Codacy 问题。当用户提到 Codacy、「codacy analysis」、`codacy-analysis-cli`、「codacy issues on PR」「fix codacy CI」「codacy markdownlint findings」，或 netdata-org PR 上任何 Codacy 门禁失败时使用。附带脚本 analyze-local.sh（codacy-analysis-cli 的 docker/二进制运行器）与 pr-issues.sh（分页 v3 问题拉取 + 按工具/模式/严重级/文件分组）。令牌安全——CODACY_TOKEN 绝不进入助手可见的 stdout。按设计只读；写操作（标记误报、标记已修复）需要 GitHub issue 或分支本地 SOW。

把 browser-use（Python）浏览器自动化脚本迁移为 Browserbase 上的 Stagehand v3（TypeScript）。当用户想转换、移植、重写或迁移 browser-use Agent 脚本到 Stagehand、把 browser-use 特性/API 映射到 Stagehand 原语（act/extract/observe/agent），或在 Browserbase 上构建更具确定性的智能浏览器自动化时使用。触发词：「browser-use」「browser_use」或「Agent(task=...)」。

开发 RomM Python 后端（backend/）——基于 FastAPI，配合 SQLAlchemy 2.0、Alembic、RQ/Redis 与 Socket.IO。在添加或修改 API 端点、handler、ORM 模型、响应 schema、元数据 provider 适配器、后台任务、数据库迁移或后端测试时使用。涵盖分层架构、约定、认证/scopes、OpenAPI→前端类型流水线，以及 uv/pytest/alembic/trunk 工作流。任何对 backend/ 下的工作都会触发。

在本地端到端调试 signals 管线。涵盖从 fixture 发出测试 signal、经 REST API 监控 Temporal 工作流、从对象存储读取沙箱代理日志、检查 Docker 沙箱容器，以及诊断常见故障（陈旧的 ClickHouse embeddings、agentsh 网络拒绝、不活动超时）。当 signal 未送达收件箱、signal-report-summary 工作流失败或沙箱任务运行超时时使用。

构建高质量 MCP（Model Context Protocol）服务器与工具的指南：MCP 是什么、如何面向 agent 易用性设计 tools/resources/prompts，以及用 TypeScript 或 Python 实现服务器。当你需要 MCP 最佳实践、服务器架构模式或分步构建工作流（含语言偏好）时使用。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

为学生或初级工程师从 GitHub 上寻找合适的传统软件后端或业务级 AI 智能体项目，评估简历价值并生成 Markdown 简历撰写包。当用户请求选择后端项目、Java/Spring 项目、分布式系统项目、完整 AI 智能体业务项目、多智能体系统、LLM 应用、用于简历的 GitHub 项目，或想把所选项目转化为简历要点/面试谈资时使用。支持模式：仅 agent、仅后端、混合、稳妥模式、挑战模式；未指定模式时先询问用户再搜索或推荐。后端推荐默认排除 IoT、嵌入式、硬件集成、设备管理与工控平台，除非用户点名。同时避免简单浏览器扩展、薄封装 LLM 套壳、浅层 AI 插件与浏览器自动化库，除非用户点名。

设计深层模块的共享词汇。当用户想要设计或改进模块接口、寻找深化机会、决定接缝位置、让代码更易测试或更易被 AI 理解，或其他技能需要深层模块词汇时使用。

关于写好、改好技能（skill）的参考——让技能行为可预测的词汇与原则。

通过将 GitHub Actions 升级到受支持的运行时：挑选安全的 action 版本、保持工作流行为、验证升级后的执行。

面向 AI Agent 的浏览器自动化 CLI。当用户需要与网站交互时使用，包括打开页面、填写表单、点击按钮、截图、抽取数据、测试 Web 应用或自动化任意浏览器任务。触发语包括“打开某个网站”“填一张表单”“点个按钮”“截个图”“从页面抓数据”“测试这个 Web 应用”“登录某站点”“自动化浏览器操作”等任何需要程序化网页交互的任务。

用结构化的 5 天流程制作原型、测试并与真实用户一起验证产品想法。当用户提到 “design sprint”、“validate in a week”、“rapid prototype”、“test with users”、“de-risk before building”、“GV sprint”、“prototype testing” 或 “design workshop” 时使用。也可在团队需要快速做出关键产品决策、化解各方分歧，或在投入开发前先验证高风险想法时触发。覆盖梳理、草图、决策、原型与测试。持续实验见 lean-startup，用户任务分析见 jobs-to-be-done。

应用基础设计原则：可供性、示能符、约束、反馈与概念模型。当用户提到“为什么这么让人困惑”“affordance”“error prevention”“discoverability”“human-centered design”“fault tolerance”“mental model”“mapping”或“seven stages of action”时使用。也可在诊断用户为何出错、降低产品复杂度、改进错误提示与反馈系统时触发。覆盖执行鸿沟与评估鸿沟。可用性评分见 ux-heuristics，iOS 专项模式见 ios-hig-design。

审计并修复 Web UI 的视觉层级、间距、配色与层次感。当用户说“我的 UI 看着不对劲”“修一下设计”“Tailwind 样式”“配色方案”“视觉层级”“设计系统”“间距刻度”“组件样式”时使用。也可在构建一致的设计 token、编写深色主题、提升数据可视化清晰度，或上线前打磨 UI 细节时触发。覆盖 grayscale-first 工作流、受约束的设计刻度、阴影与组件样式。字体选择见 web-typography，可用性审计见 ux-heuristics。

在完成功能、修复缺陷、提交 React 代码前，或用户输入 `/doctor`、要求扫描、分诊或清理 React 诊断信息时使用。覆盖 lint、无障碍、包体积与架构。包含回归检查，以及会拉取权威 playbook 的完整本地分诊流程。

针对 GitHub Actions 工作流文件（.github/workflows/*.yml）的安全加固评审。分析模式匹配器和通用代码 linter 会漏掉的 Actions 威胁模型——不可信输入的脚本注入、高权限触发器运行 fork 代码、可变的 action 引用、权限过大的 token。当被要求评审、审计、加固或保护 GitHub Actions 工作流、编写新工作流，或遇到"这个工作流安全吗""帮我查 CI 安全问题""这里 pull_request_target 为什么危险""帮我 pin actions""收紧 GITHUB_TOKEN 权限"等请求时使用。覆盖 ${{ }} 插值脚本注入、pull_request_target/workflow_run 权限提升、第三方 action 的 SHA 固定、最小权限、GITHUB_ENV/GITHUB_OUTPUT 注入、密钥暴露、OIDC 与长期凭据、公共仓库自托管 runner 的暴露风险。

面向漏洞赏金的移动应用渗透测试（Android APK + iOS IPA）——运行时优先流程：安装应用、经 Burp/mitmproxy 代理、驱动 UI、抓包，然后完全像 Web 目标一样测 API；仅当流量被 SSL pinning、加密或缺失时才升级到反编译（apktool/jadx）与 Frida/objection。涵盖通过 APK/IPA 反编译挖掘硬编码密钥 + 隐藏 API 端点 + Web 端从不暴露的 base URL、导出 Activity 与 deeplink intent 注入、WebView addJavascriptInterface 桥滥用、SSL pinning 绕过（objection patchapk / Frida CertificatePinner + checkServerTrusted hook）、用 OkHttp 拦截器链还原请求签名、JNI native-lib 初查，以及 apktool/grep 快速扫描密钥与端点。当项目范围含移动应用、Web 侦察陷入僵局需要新攻击面，或流量被 pinning 必须做 MitM 时使用。

当用户询问 GitNexus 本身——可用工具、如何查询知识图谱、MCP 资源、图 schema 或工作流参考——时使用。示例：“有哪些 GitNexus 工具？”“我该怎么用 GitNexus？”

资深数据库管理员，精通现代云数据库、自动化与可靠性工程。掌握 AWS/Azure/GCP 数据库服务、基础设施即代码、高可用、容灾恢复、性能优化与合规。处理多云策略、容器化数据库和成本优化。在数据库架构、运维或可靠性工程方面主动使用。

CursorQB 流程中带关卡的第 4 步（目标驱动）—— 从已审计的计划中实现一个范围受限、可回滚、可验证的小切片。在第 3 步审计通过后、用户批准实现时使用，或通过 /cursorqb-implement 调用。仅当审计结果为 PASS 或 PASS_WITH_WARNINGS 且不存在 P0/P1 问题时才运行；否则会停止并建议先修复。挑选单个 READY 子计划，先定义校验命令，做最小改动，并在声称完成前先验证。

CursorQB 规划流程的第 2 步（目标驱动）。把 Planner-docs/Main-Planing.md 中的每个主阶段拆解为 Planner-docs/Faz-<n>-Plans/ 下的详细子计划，并生成 Sub-Planing-Index.md。由 define-goal 技能作为 Cursor 目标自动启动，会一直运行直到覆盖所有阶段 —— 不会做完一个阶段就停下。可从 cursorqb-planner 的关卡 1 调用，或直接调用来（重新）生成子计划。只改动 Planner-docs/ 下的文件。

CursorQB 规划流程的第 1.5 步（目标驱动），对既有项目做体检。在第 1 步之后（或直接）使用，检查已有或部分完成的仓库并写出 Planner-docs/Autopsy.md —— 一份 13 节的技术反馈报告，用于充实第 2 步的子计划。对非空的既有仓库会自动执行，空或近乎为空的仓库则跳过。由 define-goal 技能作为 Cursor 目标自动启动；只会创建/更新 Planner-docs/Autopsy.md。

CursorQB 规划流程的第 3 步（目标驱动），对第 2 步的子计划做质量、覆盖度、一致性与就绪度审计。用于校验 Planner-docs/Faz-*-Plans/*.md 与 Sub-Planing-Index.md 是否忠实于 Main-Planing.md、是否完整、有序、结构良好且可实施。由 define-goal 技能作为 Cursor 目标自动启动，会持续到每个阶段与子计划都被检视完毕；仅生成 Planner-docs/Sub-Planing-Audit.md 并返回 PASS / PASS_WITH_WARNINGS / BLOCKED。单独运行以复审也是安全的。

为 Vulhub 项目添加新的漏洞复现环境的指南。当用户想要添加新的 CVE 环境、创建漏洞 Docker 实验、为 vulhub 贡献新漏洞、撰写 vulhub 漏洞文档，或为某漏洞环境创建 docker-compose.yml / Dockerfile / README 时使用。当用户提及要添加的特定 CVE、询问 vulhub 贡献流程，或想搭建可复用的利用环境时也触发。

通过 Chrome/Chromium CDP 做浏览器自动化——打开、快照、点击、截图。用于测试 Web 应用、移动端布局与自动化交互，无需 Playwright/Puppeteer。

把通知当作一条 ECC 原生工作流来运维，覆盖 GitHub、Linear、桌面提醒、hook 和已接入的通信界面。当真正的问题在于告警路由、去重、升级或收件箱爆仓时使用。

ECC 中证据优先的收入、定价、退款、团队计费与计费模型核实工作流。当用户需要销售快照、定价对比、重复扣费诊断，或需要基于代码的计费真实情况而非泛泛的支付建议时使用。

审查预测市场、资产组合、预言机与交易 Agent 相关流程在合规、安全、数据质量、隐私和执行方面的风险。在任何流程涉及交易平台授权、用户持仓数据、API 密钥或交易规划之前使用。

Langfuse 用户可见前端变更的浏览器审查共享流程。当改动影响 UI 行为、布局、样式、导航或可能造成浏览器中可见的回归，需要在签署前用 Playwright MCP server 检查时使用。

基于 OpenAPI/Swagger 规范，使用 mcp-use TypeScript SDK 构建并部署 MCP 服务器。当用户想“把这个 OpenAPI 规范变成 MCP 服务器”“让 Claude/ChatGPT 能用上这个 API”“把 Swagger 文档包装成 MCP tools”“向 LLM 暴露这个 REST API”“从规范生成 MCP tools”，或粘贴/附上 openapi.yaml、openapi.json、swagger.json 并索要 Claude 兼容版本时使用。即便用户没有说 “MCP” 也触发——只要他们描述了一个既有 HTTP API（REST 端点、内部服务、有 key 的第三方 API）并希望 LLM 调用它，就该用本技能。涵盖规范摄入（文件路径、URL 或粘贴）、operation 到 tool 的映射、认证接线（apiKey、bearer、basic、OAuth bearer）、用 create-mcp-use-app 脚手架、生成带合适 zod schema 的 tool、在 mcp-use inspector 中实时测试，以及部署到 Manufact / mcp-use cloud。

将 nao 项目的上下文目录连接（接线）到远程 nao 实例（云端或自托管），使每次推送到 `main` 分支都通过 GitHub Actions 自动执行 `nao deploy`。当用户已有本地版本化（Git 管理）的 nao 项目、并希望团队部署的实例始终反映最新提交的上下文时使用。涵盖 `nao deploy` 用法、GitHub Actions 工作流、组织 API 密钥、GitHub Secrets、`.naoignore`、`nao_config.yaml` 中的环境变量引用，以及新建与更新的行为差异。不适用于首次项目搭建（请用 `setup-context`），也不用于把仓库元数据回写提交的 `nao sync` 自动化（见文档 synchronization 页面）。

为 Claude Code、Codex、Gemini CLI、Cursor、OpenClaw 提供 37 个高级工程 agent 技能的索引。用于浏览或选择 POWERFUL 层级的工程技能：agent 设计、RAG、MCP 服务器、CI/CD、数据库设计、可观测性、安全审计、changelog/release 自动化、可靠性（SLO/chaos/flags/operators）、平台运维。

带持久页面状态的浏览器自动化。当用户要求浏览网站、填写表单、截图、提取网页数据、测试 Web 应用或自动化浏览器工作流时使用。触发短语包括 “go to [url]”“click on”“fill out the form”“take a screenshot”“scrape”“automate”“test the website”“log into”，或任何浏览器交互请求。

在完成功能、修复缺陷、提交 React 代码前，或用户输入 `/doctor`、要求扫描、分诊或清理 React 诊断信息时使用。覆盖 lint、无障碍、包体积与架构。包含回归检查，以及会拉取权威 playbook 的完整本地分诊流程。

在提交前评审 UTM 的待提交变更。对当前分支 diff 做标准正确性/质量代码评审，并按 CONTRIBUTING.md 与 AGENTS.md 中的 UTM 贡献规则审计——范围纪律、commit/PR 格式、AI 署名、日志钩子、生成文件、UI/设计理念与平台兼容性。在创建或更新 UTM pull request 之前、用户要求评审 UTM 变更时、或用户运行 /utm-review 时使用。/utm-submit 工作流默认本技能已在当前变更上运行过。

用于 Laravel MCP 开发。在 Laravel 项目中创建或编辑 MCP 工具、资源、提示词、服务器或 UI 应用时触发。涵盖：artisan make:mcp-* 生成器、routes/ai.php、Tool/Resource/Prompt/AppResource 类、schema 校验、shouldRegister()、OAuth 配置、URI 模板、只读属性、MCP 调试、MCP UI 应用、x-mcp::app Blade 组件、createMcpApp()、默认 AppResource handle() 从类名自动推断视图、Response::view()、AppMeta/Csp/Permissions/appMeta() 配置、#[RendersApp] 属性、用于 CDN 库（Tailwind、Alpine）的 Library 枚举，以及通过 CSS 变量应用宿主主题。只要用户提到 MCP 应用、MCP UI、交互式 MCP 资源、用 Tailwind 或 Alpine 为 MCP 应用定样，或为 AI Agent 构建可视化界面，就使用本技能

专业移动持续集成与交付，涵盖 Fastlane 自动化、代码签名管理、TestFlight 与 Google Play 发布流水线、App Center 分发、CI 中的自动化测试、构建版本策略、环境配置，以及 iOS 与 Android 应用的发布管理。当用户询问 mobile cicd、mobile cicd 最佳实践，或需要 mobile cicd 实施指导时使用。当用户需要其他专项技能或涉及无关技术领域时请勿使用。

指导实现专家级的 Docker Compose 模式：云与自动化决策框架、生产可用的模式以及 docker compose 模式工作流的具体模板。当用户询问 docker compose 模式、docker compose patterns 配置，或 Docker 项目的 DevOps 最佳实践时使用。当用户需要其他 devops cloud 能力时请勿使用——可查看 devops cloud 子类目下的同级技能。

指导实现专家级的数据库迁移模式：数据库与自动化决策框架、生产可用的模式以及数据库迁移模式工作流的具体模板。当用户询问数据库迁移模式、database migration patterns 配置，或数据库项目的数据库最佳实践时使用。当用户需要其他后端基础设施能力时请勿使用——可查看 backend infrastructure 子类目下的同级技能。

在实现之前或实现的同时，将含义模糊或影响较大的产品与工程变更转化为范围明确、可验证的验收标准。适用于用户请求澄清功能、定义验收标准、降低安全/数据/迁移/集成变更风险、为其他智能体准备实现需求，或让复杂需求变得可测试时。除非用户明确调用此技能，否则不要因琐碎改动、简单修复、进行中的调试、代码审查或验收条件已明确的实现请求而触发。

已有的 Chrome 自动化方案：优先使用 Chrome 插件，mcporter 作为回退。

将 PDF 转换为单个自包含、可读性好的 HTML 文件，保留图片、表格、图表和阅读顺序——还可选择翻译为另一种语言同时保留全部图形。使用结构化抽取（PyMuPDF）、基于字号的版式推断、压缩的 base64 内联图片（单一可携带文件），以及强制的无头 Chrome 视觉校验。当有人想把 PDF 作为网页或干净文档来阅读、把 PDF 转成 HTML，或在保留图/表/图表的前提下翻译 PDF 时使用——例如“PDF 转 HTML”“把这个 PDF 转成中文网页版”“让这份报告变得可读”“翻译这份 PDF 但别丢图表”“我只想在手机上读这份 PDF”。与 doc-to-markdown（纯 Markdown 文本）和 pdf-creator（Markdown→PDF）不同——本技能产出带样式、忠实还原图片的 HTML 阅读体验。

设计并构建有原生感的 macOS 应用 UI。当用户要做桌面应用、macOS 应用、Mac 风格界面、Apple 风格 UI、系统工具，或任何应像原生 Mac 应用的东西时使用。用户提到「原生感」「桌面应用设计」「Apple 设计模式」「侧边栏布局」「红绿灯按钮」，或想构建看起来属于 macOS 的工具/实用程序时也触发。本技能涵盖布局、组合、交互模式、动画、亮/暗色模式，以及让应用显得出自 Apple 之手的所有细节。

在完成功能、修复缺陷、提交 React 代码前，或用户输入 `/doctor`、要求扫描、分诊或清理 React 诊断问题时使用。覆盖 lint、无障碍、bundle 体积与架构，包含回归检查以及会拉取官方 playbook 的完整本地分诊工作流。

SQL 注入——对未消毒 SQL 查询的自动化与手工利用。涵盖 Union 型、报错型、盲注（布尔/时间型）与堆叠查询。包含 sqlmap 自动化及 WAF 绕过 tamper 脚本。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

kubernetes-architect 工作流技能。当用户需要专注于云原生基础设施、高级 GitOps 工作流（ArgoCD/Flux）与企业级容器编排的资深 Kubernetes 架构能力时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。