代码审查 / GitHub MCP 推荐

Discourse 前端代码（JavaScript 与 TypeScript，.js/.gjs/.ts/.gts）中 linter 不强制的核心、插件与主题约定。在编写、审查或准备提交类代码或模板时使用。涵盖私有符号模式（#、无前缀、下划线）、超出 lint 分桶范围的类成员排序、带注释字段前的空行、禁用横幅注释、模板内安全注释、调用处 attribute/argument/modifier 排序，以及注释必要性判断标准。

让每个非平凡决策在生效前接受全新上下文的对抗性审查。在你想在推进前交叉质询每个假设、对计划做隐性失败模式压力测试、正确性比速度更重要、在不熟悉的代码中工作、风险高企（生产认证、安全敏感逻辑、高风险迁移、不可逆操作），或任何「现在就验证比日后再调试更划算」的时刻使用。

将 Claude Code 转变为具备持久记忆、定时操作、计算机使用和任务队列的完全自主代理系统。通过利用 Claude Code 原生的 crons、调度、MCP 工具和记忆，取代独立的代理框架（Hermes、AutoGPT）。当用户希望持续自主运行、定时任务或自我导向的代理循环时使用。

将本地 BentoML 项目构建为 Bento，容器化为 OCI/Docker 镜像，本地冒烟测试，并推送到容器镜像仓库（Docker Hub、GHCR、ECR、私有仓库、kind/minikube 本地加载或 ttl.sh）。当用户要求“containerize a Bento”“build a Docker image for my BentoML service”“package my BentoML service for deployment”“push my Bento image to a registry”，或作为把 BentoML 部署到 Kubernetes/EC2 的第一步时使用。本技能不执行任何部署——需移交 bentoml-k8s-deploy 或 bentoml-ec2-deploy 完成部署。

针对最近 30 天的社区与社交趋势调研。当需求询问当下大家在说什么、近期舆情、社区反应、社交背书、发布反响、趋势扫描或近 30 天背景时使用。

为 Android TV 应用提供从旧版 Leanback UI Toolkit、Android Views 或 Support Fragments 迁移到 Jetpack Compose for TV（androidx.tv）的指令与架构模式。用于 Leanback 到 Compose 的迁移，包括浏览页、设置页、认证页、登录页或视频播放页的迁移；或将 BrowseSupportFragment、LeanbackSettingsFragment、PreferenceFragment、BaseLeanbackPreferenceFragmentCompat、VideoSupportFragment、GuidedStepSupportFragment、SearchSupportFragment、VerticalGridSupportFragment、Presenter、ArrayObjectAdapter、CursorMapper 替换为现代 Compose 等价物；或实现带焦点记忆的沉浸式轮播、基于 PlayerSurface 的 Media3 视频播放、自定义 10 英尺客厅布局。

用于间歇性 UI、状态陈旧、顺序、导航或仅浏览器可复现的 bug。扩展验收流程，加入边界追踪与回归诊断。

@copilotkit/react-core——在 Next.js App Router / React Router v7 / TanStack Start / SPA 应用中挂载 CopilotKit provider（来自 @copilotkit/react-core/v2），接入 CopilotChat/CopilotPopup/CopilotSidebar（v2 聊天组件由 react-core/v2 提供，而非仅有 CSS 的 react-ui），通过 useAgent/useAgentContext/useCapabilities 访问和订阅 agent，在多个 agent 间切换，用 useThreads 管理持久的 Intelligence 会话线程，通过 useFrontendTool 注册浏览器端工具，用 useRenderTool/useComponent/useDefaultRenderTool 渲染工具调用，用 useHumanInTheLoop 做执行门控，用 useAttachments 接入文件附件，配置建议词，以及注册活动与自定义消息渲染器。publicLicenseKey 为正式字段（publicApiKey 是已废弃别名）。按任务加载 references/ 下对应的参考文件。

用语义化 HTML、CSS 和直接的浏览器 API 编写 PostHog canvas——文档、文章、生成式图形、2D canvas 与 WebGL 体验，以及 React 组件不能提供有效结构的聚焦实验。在 building-canvases 把画布请求路由到纯 HTML/浏览器 API 实现之后使用。涵盖当前运行时要求的轻量组件包装、不依赖 Quill 的样式与主题、绘图画布，以及动画/清理模式。

读取 Reddit：子版块、搜索、帖子线程与用户，无需浏览器。

分诊本仓库的 GitHub Code Scanning 告警（CodeQL security-extended 套件）——列出开放告警，按误报/不修复/仅测试使用驳回，经 GitHub REST + GraphQL 查询。当用户要求「review GitHub security alerts」「check CodeQL findings」「triage code scanning」，或提及 Code Scanning、CodeQL、security-extended、github.com/$repo/security/code-scanning 时使用。

关于本仓库（及另外 5 个 Netdata 官方仓库）文档如何成为 `learn.netdata.cloud` 已发布页面的权威参考。涵盖 `<repo>/docs/.map/map.yaml` 唯一事实源（真正的开关——文件系统路径与路由无关）、learn 仓库中现役的 `ingest/ingest.py` 编排器（不是遗留的 `ingest.js`）、frontmatter 注入、slug 规则、侧边栏自动生成、MDX 转义规则、版本化、四机制重定向栈、6 个源仓库、每 3 小时一次的 CI 摄取、Netlify 部署，以及 learn 仓库手写文件的 `part_of_learn=True` 启用方式。在增删改移文档页面、Learn 上的页面看起来不对、犹豫该在本仓库还是 learn 仓库编辑文档，或阅读 `ingest.py`、`sidebars.js`、`docusaurus.config.js`、`static.toml`、`LegacyLearnCorrelateLinksWithGHURLs.json`、`netlify.toml`、`.mdx` 中的 `<!--startmeta` 块、`ingest.yml` 与 `daily-learn-link-check.yml` 工作流时使用。

在 web/ 或 packages/dify-ui/ 下编写或修改 Vitest、React Testing Library 测试时使用，或用户明确要求制定前端测试策略（含评估现有策略）时使用。不适用于仅做前端代码审查、泛泛的可测试性讨论、Python 测试或 Cucumber/Playwright E2E。

当用户希望用 Docker 或 docker compose 运行 cognee 时使用——包括用预构建镜像快速体验、在容器中启动 API 服务，或用 compose profile 拉起完整技术栈（UI、MCP、Postgres、Neo4j）。

在需要将一组相互依赖的 GitHub PR（A ← B ← C，各自基于下层的分支）落地到 master、合并 base 指向另一个开放 PR 分支的 PR，或请求中提到 stacked PRs、PR stack、dependent PRs、依次合并多个相关 PR 时使用。落地前要求同仓库的每条依赖链都使用 GitHub 官方的堆叠 PR 功能，以便 GitHub 统一负责整栈的规则、CI、顺序、重定向与合并状态。

按 ISO 3166-1 alpha-2 国家代码，获取当前的 AI 生成战略情报简报。当用户询问某国当前地缘政治、经济或安全局势摘要时使用。

指导安全修改 TaxonomicFilter——PostHog 用于事件、action、属性、群组等的多标签选择器。先讲清经验性的产品现实（用户实际挑选和搜索什么）以及三个在用变体（legacy-control、藏在 TAXONOMIC_FILTER_CATEGORY_DROPDOWN 开关后的 legacy-pill、藏在 TAXONOMIC_FILTER_MENU_REBUILD 后的自选重构菜单），让改动以真实行为为评判标准并在多个界面镜像同步，而不是孤立地针对一支实现。在新增功能、修 bug 或重构 TaxonomicFilter、重构菜单或无头筛选面板时使用。

使用 `depot build` 与 `depot bake` 配置并运行 Depot 远程容器构建。当构建 Docker 镜像、为 Depot 编写 Dockerfile、推送镜像到仓库、构建多平台/多架构镜像（linux/amd64、linux/arm64）、排查容器构建失败、优化 Dockerfile 分层缓存、使用 docker-bake.hcl 或 docker-compose 构建，或从 `docker build` / `docker buildx build` 迁移到 Depot 时使用。当用户提到 depot build、depot bake、容器构建、镜像构建，或询问 Depot 的构建缓存、构建并行度、临时仓库时也使用。

顾问模式。在关键检查点咨询更强（或不同）的模型：重大决策前、卡在错误上时、以及宣布任务完成前。当用户输入 /advisor、要求开启或关闭顾问、选择顾问模型，或显式请求更强/不同模型给出第二意见时使用。切勿自行启用。

使用 Serverless Framework 内置的 MCP 支持，将 Model Context Protocol（MCP）服务器托管到 AWS——基于官方 SDK 的服务器模块，部署到 AWS Lambda 的流式 API Gateway REST 端点后，自带网关访问控制与 OAuth protected-resource 发现，打包和 elicitation 状态均已代为实现。当用户要在 AWS 或 Lambda 上部署、托管、加固或调试 MCP 服务器，编写或编辑 serverless.yml 中的 `mcp:` 配置块，通过 HTTP 向 Claude 或其他 AI 客户端暴露 tools、resources 或 prompts，或遇到 `MCP_*` 配置错误（MCP_UNSUPPORTED_NODE_RUNTIME、MCP_FUNCTION_NAME_COLLISION、MCP_INVALID_STATE_ARN 等）时使用。即使用户没有点名 Serverless Framework 或 MCP，只要描述把自有工具通过 HTTPS 端点提供给 AI 客户端，也应触发。

在编写任何 HogQL/SQL 或调用 execute-sql 查询 PostHog 前的必读内容。当用户想搜索、查找或对 PostHog 实体（insight、仪表盘、群组、feature flag、实验、问卷、hog flow、数据仓库、person 等）做复杂聚合，以及查询分析数据（趋势、漏斗、留存、生命周期、路径、粘性、Web 分析、错误追踪、日志、会话、LLM traces）时使用。对受治理的业务或遥测指标（MRR、激活、计费用量、活跃组织、失败率）同样是第一站：先从原始事件或使用带类型的领域工具推导之前，检查语义层（system.information_schema.metrics 中的规范指标）。涵盖 HogQL 与 ClickHouse SQL 的语法差异、系统表 schema（system.*）、可用函数、查询示例与 schema 发现工作流。

为已成功部署的 Dynamo 候选版本选择并冻结问题驱动的 AIPerf 工作负载、目标、负载策略和 Kubernetes 执行清单。当候选版本需要进行性能表征或与参考进行可比测量时使用。

在为全新 UI 或改造现有 UI 提供有辨识度、有意图的视觉设计指导。帮助把握美学方向、字体排印，避免设计看起来像模板化的默认样式。

Sentry 后端在日志、tracing/span、span/tag 属性命名、metrics tag 与 options 系统方面的约定。在 src/ 中新增或编辑以下 Python 代码时使用：打日志（logger.info/exception）、记录指标（带 tag 的 metrics.incr/timing）、为 span/transaction 埋点、调用 sentry_sdk.set_tag/set_attribute 或 set_span_tag/set_span_data、用 options.get() 读取已注册 option。触发语：“add logging”“log an error”“add a metric”“add a span”“instrument tracing”“set an attribute”“add a tag”“read an option”“LOG005”“LOG011”，或关于 metrics tag 基数的问题。

使用内置故事画廊（story gallery）搭建 Playwright 组件测试——由内置 mount fixture 驱动 story 脚手架与画廊开发页，无需专用组件测试运行时。当被要求用 Playwright 对 React 或 Vue 组件做隔离测试，或从 @playwright/experimental-ct-react / -vue 迁移时使用。

为 Supabase Studio（e2e/studio）编写并运行 Playwright E2E 测试。在被要求跑 E2E 测试、编写新 E2E 测试或调试不稳定/失败的 Playwright 测试时使用。涵盖执行命令、规避竞态条件、等待策略、选择器、辅助函数以及 CI 与本地差异。

Supabase Studio 的测试策略。在编写测试、判断改动是否需要测试及需要什么类型、把组件逻辑抽取为可测试的工具函数，或评审测试覆盖度时使用。涵盖单元测试、组件测试与 E2E 测试的选型标准。

只要代码会构建、返回、拉取或执行针对用户真实 Postgres 数据库的 SQL，就使用本 skill——即使需求读起来像普通功能或 bug 修复，完全没提“security”“injection”或“SafeSqlFragment”。覆盖：编写或修改任何构造/返回数据库对象（表、视图、函数、DB 触发器、索引、RLS 策略）SQL 的 pg-meta 函数、查询构造器或接口；把 schema/表/列/搜索词/路由参数插入 SQL 文本；存储、读取或重跑从数据库往返的 SQL（策略定义、函数/视图定义、片段保存内容）；以及任何把 SQL 发到项目库的 Run/Apply/Execute 动作（SQL 编辑器执行选中、策略编辑器应用、片段执行器）。在动手写这类代码前就要加载，不要只在评审成品 diff 时才用。仅在改动完全不涉及 SQL 文本或执行时跳过——样式、无关的数据 hook、非 SQL 表单校验或 UI 布局工作。

针对 ClickHouse 支撑的 logs 表（logs.all.otel 分析端点）编写、评审与迁移 Supabase 日志查询。只要任务涉及 Logs Explorer SQL、log_attributes map、按日志 source 查询（edge_logs、postgres_logs、auth_logs 等）、把旧的 BigQuery cross join unnest(metadata) 日志查询翻译为 ClickHouse，或在 apps/studio/data/logs 与 apps/studio/components/interfaces/Settings/Logs 中接入分析日志 SQL 时使用。用户即使只说“日志查询”“Logs Explorer”或粘贴一段 BigQuery 日志查询待转换也应使用，不必非要提到 ClickHouse。

易于扩展的 React 组合模式。适用于重构 boolean prop 泛滥的组件、构建灵活的组件库、设计可复用 API。当任务涉及 compound components、render props、context provider 或组件架构时触发。包含 React 19 的 API 变化。

Supabase Studio 数据获取的 React Query 规范。在 apps/studio/data/ 下编写或评审 query hook、mutation hook 或 query key 时使用，包括为新接口或资源加首个 fetch 或 mutation。涵盖 queryOptions 模式、keys.ts 结构、mutation hook 模板与命令式 fetch。

通过 @mui/material-nextjs、Emotion 缓存 provider、next/font、与 Tailwind/CSS Modules 并存的 CSS layers、Link 组件 prop 用法、CSS 主题变量 SSR 注意事项，以及 App Router 下 useSearchParams + Suspense 等，将 Material UI 与 Next.js App/Pages 路由集成。在安装或调试 Next.js 应用中的 MUI 时使用。

主动渗透测试工具链。覆盖信息收集、端口扫描、漏洞扫描、Web 渗透、SQL 注入、目录爆破、密码破解等场景。通过 MCP server（pentestMCP / mcp-security-hub）将 20+ 安全工具暴露给 AI agent。触发关键词：渗透测试、端口扫描、Nmap、漏洞扫描、Nuclei、SQL 注入、SQLMap、目录爆破、FFUF、密码破解、Hashcat、信息收集、子域名、Web 渗透、ZAP、Burp。

实战 SRC / 众测 / Bug bounty 漏洞挖掘工作流 skill。包含：5 阶段方法论（intake → recon → enum → hunt → report）、19 个攻击类 playbook（SQLi/XSS/RCE/SSRF/IDOR/CSRF/Path Traversal/File Upload/SSTI/XXE/Race/HTTP Smuggling/OAuth/JWT/SAML/GraphQL/Mobile/LLM/DoS）、305 个结构化 payload、263 个 WAF/EDR 绕过变体、2887 份 HackerOne 真实 High/Critical 已披露案例、77,000+ WooYun 案例统计、国产 OA / 中间件指纹库、银行 / 电信行业垂直 playbook。当用户提到 "src 挖洞 / src 漏洞挖掘 / bug bounty / 众测 / hackerone / 漏洞赏金 / SRC / 任意 X 漏洞 / 渗透测试" 或问"如何挖某个目标 / 怎么测某个 API / 如何绕过 WAF" 时触发。

Tailwind CSS 的官方 daisyUI 组件库技能。当你编写 HTML 或 JSX 代码时必须使用它；即使用户没有要求也应使用。

在创建新的 WarpDrive 前端模型，或阅读、使用、修改已迁移到 WarpDrive 的模型（frontend/discourse/app/data 下的内容或继承 RestCompatModel/WarpRestModel 的类）时使用。

以 Atelier Zero 视觉语言（Monocle / Apartamento / Études 编辑式拼贴）产出世界级的单页编辑型落地站——即 OpenDesign 自家营销页面所用的同一美学。代理从品牌简报填充类型化 `inputs.json`，可选经 gpt-image-2 生成 16 张拼贴素材，再由纯函数 compose 器输出自包含 HTML 文件。滚动显影动效与 Headroom 式吸顶导航自动装配。

让机械式重构（文件拆分、函数移动、模块抽取、重命名）变成机器可校验而非靠肉眼检查：从忠实的原始内容逐字节复现移动类提交，并把抽取操作拆成可验证的 prepare + move + postpare。在做或评审此类变更时使用。

在 Cursor 上配置 claude-mem 时使用：本地或远程 worker，本地主机登录观察器或远程 cmem.ai 推理。

为 PostHog 中的 Django 模型添加或修改活动日志（审计跟踪）。当模型的写操作必须出现在 Activity 侧栏或高级活动日志中、在添加 ModelActivityMixin、ActivityScope、model_activity_signal 接收器、活动描述器或字段排除项、审计模型哪些写路径被记录，或某变更缺失于活动日志时使用。涵盖接收器模块约定、信号看不到的写操作（QuerySet.update、bulk_create）、请求之外的 actor，以及位于独立数据库上的产品模型。触发词：activity log、audit log、audit trail、ModelActivityMixin、log_activity、changes_between、activity describer、who changed this。

Track physical units and propagate measurement uncertainty in scientific calculations using pint and uncertainties. Use for unit conversion and dimensional checking, GUM uncertainty budgets, Type A and Type B evaluation, coverage factors and expanded uncertainty, Monte Carlo propagation, significant-figure and plus-minus reporting, error propagation through curve fits, CODATA constants, auditing Python code for stripped units or broken uncertainty propagation, and order-of-magnitude plausibility checks using dimensionless groups (Reynolds, Peclet, Damkohler, Knudsen, Biot, Womersley), characteristic scales such as diffusion time or Debye length, and observed magnitude ranges. Trigger on "is this number physically reasonable", "sanity check these units", "what regime is this flow in", or a result that looks off by orders of magnitude.

当需要在 Python 中进行精确符号数学时使用——代数、微积分、方程求解、符号线性代数，或经 lambdify/LaTeX 生成代码。浮点近似即可满足需求时优先使用 NumPy 或 SciPy。

通过 PyTDC Python 包使用 Therapeutics Data Commons：registry 发现、已批准数据集访问、任务感知的数据切分、评估指标、基准分组，以及有界的分子 oracle 工作流。

编排 Open Notebook 的一次发布——变更日志核查、基于风险的 A/B/C 测试矩阵、Docker 镜像门禁（全新安装＋升级）、经 PR 的修复循环、版本切分、带署名的发布，以及回顾。在准备、测试、切分或发布版本时使用。

管理 OpenClaw GitHub Actions 与 Blacksmith CI 的容量：runner 注册预算、扇出上限、main 推送单飞、分片规模、托管 runner 分担、队列健康，以及安全的降载/升载变更。用于调优 `.github/workflows/*`、`docs/ci.md`、CI runner 标签、matrix `max-parallel`、ClawSweeper/Blacksmith 突发保护、CodeQL runner 分配，或排查 OpenClaw CI 排队/缓慢问题。

在 Telegram 测试服务器上，用 Convex 租用的团队凭据验证用户可见的 OpenClaw Telegram 行为：驱动真实用户轮次，并记录消息、编辑、删除、表情回应、输入状态或富内容。

逐用例对 opencode 本身做 QA：验证 CLI/终端（opencode run、db、serve、export）、通过 SSE 事件流证明某个插件钩子/动作/事件已触发、在 tmux 下对 TUI 做冒烟测试，以及按 id、标题/名称或消息文本在 opencode 的 SQLite 数据库中调查会话。自带经测试的辅助脚本（每个都有 --self-test）与分领域的参考文档。凡要对 opencode 的 CLI、HTTP server、插件钩子/事件或 TUI 做 QA、冒烟测试、验证或调试，或要查找并检查数据库中的 opencode 会话时使用。触发词：opencode qa、qa opencode、test opencode、verify opencode hook、opencode session db、find opencode session by id/name/text、opencode tui test、opencode server health、opencode event stream。

在编辑、评审或审计 PostHog 的 DRF viewset 与序列化器时使用。触发于 posthog/api/、products/*/backend/api/、products/*/backend/presentation/ 下的文件，或任何导入 rest_framework 的文件。涵盖字段类型标注、schema 注解、枚举冲突修复与 OpenAPI 规范质量——这些都会流向下游生成的 TypeScript 类型与 MCP 工具。