代码审查 / GitHub MCP 推荐

以可证明、不改变行为的方式，把超大的 Python 模块（上千行的 logic.py、models.py、api.py 或其测试文件）机械拆分为按关注点分离的包。当被要求拆分/分解上帝模块或从中搬出函数、在改动前人工已同意拆分，或在动手重组约上千行的模块内代码之前使用——拆解长函数或就地抽取 helper 只会把一切留在同一文件里，因此先查看值不值得拆的门槛并提议拆分。涵盖该门槛、以无环依赖图把符号分配给关注点、AST 加 tokenize 的搬迁脚本，以及证明结果是纯移动。仅限 Python——前端文件请用 writing-ui-components。不适用于把共享 helper 抽取到 common/，也不适用于在 products 之间搬代码（那是 isolating-product-facade-contracts）。

使用 React 的 View Transition API（`<ViewTransition>` 组件、`addTransitionType` 以及 CSS 视图过渡伪元素）实现顺滑、接近原生体验动画的指南。只要用户想添加页面过渡、动画化路由切换、做共享元素动画、组件进出场动画、列表重排动画、前进/后退方向性导航动画，或在 Next.js 中集成视图过渡，就使用此技能。用户提到 view transitions、`startViewTransition`、`ViewTransition`、transition types，或询问如何不借助第三方动画库在 React 中做 UI 状态间动画时也应使用。

仅当用户明确要求时，把编码任务委派给 Cursor Agent CLI（`cursor-agent`），编排方保留审查与合入的职责。

使用 Python 构建 Gradio Web UI 与 demo。在创建、修改、调试 Gradio，或回答有关 Gradio 及其组件、事件监听器、布局的问题时使用。

当用户要求示意图、流程图、架构图、ER 图、UML/时序/类图、SysML/MBSE 图（内部块定义、内部块图、需求图、参数图）、BPMN 业务流程图、泳道/跨职能流程图、网络拓扑、依据 Terraform 或 Kubernetes manifest 绘制云架构、ML/深度学习模型图（Transformer/CNN/LSTM）、思维导图或任何可视化时使用。在讲解含 3 个以上组件的系统、复杂数据流或适合以视觉呈现的关系时也应主动使用。尤其适合需要自定义样式、丰富图形词汇表、泳道或可导出图像（PNG/SVG/PDF/JPG）的图表。生成 .drawio XML 并通过原生 draw.io 桌面 CLI 在本地导出。

验证特定 commit 的 Next.js 预览包，并通过 test_e2e_deploy_release.yml GitHub Actions 工作流手动触发整套 Next.js 部署测试。仅在需要针对内部 vercel/next.js PR 分支运行完整部署测试套件或该特定工作流时使用。不适合有针对性的部署测试 sanity check——那种场景应在本地用 pnpm test-deploy。涵盖解析分支最新 SHA、等待 vercel-packages、保留工作流默认输入、派发执行并验证运行结果。

工作流技能：创建、更新、评审、修复或调试 VS Code 代理定制文件（.instructions.md、.prompt.md、.agent.md、SKILL.md、copilot-instructions.md、AGENTS.md）。适用场景：保存编码偏好；排查指令/技能/代理为何被忽略或未被调用；配置 applyTo 模式；定义工具限制；创建自定义代理模式或专项工作流；打包领域知识；修复 YAML frontmatter 语法。不适用：一般编码问题（用默认代理）；运行时调试或错误诊断；MCP 服务器配置（直接查 MCP 文档）；VS Code 扩展开发。会调用：文件系统工具（读写定制文件）、提问工具（向用户访谈需求）、用于代码库探索的子代理。单一操作：若只是快速修 YAML frontmatter 或按已知模式创建单个文件，直接编辑即可，无需本技能。

将网站按版本部署到 GitHub、Cloudflare、Netlify Pages。

当代理需要通过 AgentMail CLI 使用邮箱时使用。

使用 PostHog 的 MCP 工具调试并检查 LLM/AI 代理 trace。当用户粘贴 trace 或会话 URL（如 /ai-observability/traces/<id> 或 /ai-observability/sessions/<id>）、要求调试某个 trace、弄清哪里出了问题、检查代理是否正确使用了工具、验证上下文/文件是否被呈现、检查子代理行为、分析 LLM 决策，或研究 token 用量与成本时使用。当针对 `events.properties.$ai_input` / `$ai_output_choices` 的原始 SQL/HogQL 返回为空时也使用——消息内容只存在于专用的 `posthog.ai_events` 表中。

维护既有 pytest 与 Django 测试套件，且不放松正确性。当被要求压缩 Python 测试运行时长或 CI 工作量、排查缓慢的 pytest 套件、清理过期的迁移测试、合并重复 setup、提升 Python 测试归属感，或在合并后衡量测试优化是否见效时使用。按实测成本排序工作、将 writing-tests 的价值门槛应用于既有覆盖率、保留彼此独立的行为用例、在改动共享 fixture 后验证隔离性，并区分 testcase 工作与 pytest 套件墙钟时间。遇到偶发失败请改用 fixing-flaky-tests。

以一次性模式运行 Hermes Agent 处理有界的本地任务。当用户明确要求把工作委派给 Hermes 并接受其自动工具批准行为时使用。

处置当前、上周或指定时间窗口内的 Clawtributor PR：发现会话引用、复核 GitHub、按影响排序。

将沉重的领域功能拆解为可挂载的能力原子。适用场景：Viewer/Page/index.tsx 同时承担取数、筛选、变更、弹窗与宿主集成；可视化拆分后页面仍残留 store 调用与 action；portal、嵌入、分享、移动端或微应用需要同一领域的子集；或新能力正以又一个 `readOnly`/`mode`/`variant` 标志落地。触发词：compose-atoms、sink state、状态下沉、重业务拆分、拆成原子、原子组件、组装、god component、fat viewer、module graph、slot composition、host seam。

使用 IDA Pro 逆向二进制文件：反编译、反汇编、数据流跟踪、交叉引用，以及面向 PE/ELF/Mach-O 目标深度静态分析的 IDA MCP 自动化。

按照 OWASP FSTM 九阶段流程进行固件渗透测试：提取、EMBA 自动化、Firmadyne/QEMU 仿真、AFL++ fuzzing，以及在授权实验室中的实际利用。

自动化浏览器（Playwright）与 Windows 桌面应用（UI 自动化），用于逆向工程取证、UI 驱动的工作流，以及分析过程中的网络观测。

Bug bounty/SRC 漏洞挖掘工作流：五阶段方法论（接收、侦察、枚举、挖掘、报告），附 SQLi、XSS、RCE、SSRF、IDOR、CSRF、路径穿越与文件上传等攻击 playbook。

通过结构化工作流操作 20+ 款渗透测试工具（Nmap、Nuclei、SQLMap、FFUF、Hashcat 等），并统一输出处理。

授权范围内的 Android/iOS 应用逆向与安全测试：APK/IPA 分析、运行时插桩（Frida/Objection）、SSL-pinning 与越狱/ROOT 检测绕过，遵循 OWASP MASTG。

基于已完成的分析生成技术交付物：逆向报告、渗透测试报告、CTF write-up 与签名分析文档，采用证据支撑的结构。

授权范围内的云、容器与 Kubernetes 安全评估：metadata SSRF、IAM 配置错误、容器逃逸路径与集群 RBAC 审查。

从逆向工程到可用 exploit：使用 pwntools、libc-database、ROP 的栈/堆/内核 pwn 工作流，以及从 CTF 到授权远程目标的利用稳定化。

在授权范围内对 PostgreSQL、MySQL、MSSQL、MongoDB 与 Redis 进行数据库安全评估：暴露面、授权缺口、UDF/命令执行路径与错误配置审查。

在 macOS 上运行、构建或管理 Linux 容器,或任务涉及 Mac 上的 Docker、docker compose、Lima、Colima、Podman 命令、Dockerfile、OCI 镜像、镜像仓库,或在 Apple silicon 上搭建 Linux 开发环境时使用。

将 Sentry 功能置于 FlagPole feature flag 之后。在添加 feature flag、在 temporary.py 中注册 flag、从 Python 或前端检查 flag、在测试中启用 flag，或被问到 FlagPole rollout 配置位置时使用。触发语：“add a feature flag”“gate this behind a flag”“register a flag”“features.has”“api_expose”“OrganizationFeature”“ProjectFeature”“FlagPole”。

在通过 `posthog:insight-create` 或 `posthog:insight-update` 创建或更新 insight 时选对 y 轴单位——同时覆盖 TrendsQuery（`trendsFilter.aggregationAxisFormat`）与 SQL insight（`DataVisualizationNode`、`chartSettings.yAxis[].settings.formatting`）。当代理即将仅为换算单位添加 `formula`（如把秒除以 60 显示为分钟）、`math_property` 或 SQL 列是时长、货币、比率或大计数，或用户在图表 insight 语境中提到“格式化 y 轴”“duration”“seconds”“minutes”“hours”“milliseconds”“ms”“percentage”“%%”“currency”“decimals”“axis label”“axis unit”时使用。

生成可独立提交进仓库的生产部署脚本包（deploy/deploy.py + 一份仅含覆盖项的 config.yml——Kubernetes manifest 由它渲染），无需 agent 参与即可完成构建、容器化、推送、部署与验证 BentoML 服务——可在终端或 CI/CD 中运行。当用户说“generate a deployment script”“deploy from CI/CD”“set up a production deployment pipeline”“deploy without the agent”“give me a script I can commit to deploy this”“automate my BentoML deploys”等时使用。与交互式技能互补：bentoml-containerize、bentoml-k8s-deploy、bentoml-ec2-deploy 是在有你在场的情况下完成一次部署，本技能则产出可无限重复的脚本。支持 Kubernetes 与 EC2 目标。

用 Docker 将容器化的 BentoML 服务直接部署到一台或多台裸 AWS EC2 实例——不用 Kubernetes。接收已推送的容器镜像（由 bentoml-containerize 技能构建），或通过 SSH 使用用户既有实例，或经 AWS CLI 开通新实例（SSM AMI 查询、安全组、密钥对），以重启自恢复方式运行容器，并用真实推理请求验证。当用户说“deploy my BentoML service to EC2”“run my bento on an AWS VM”“deploy this bento image to an EC2 instance”“run my BentoML container on AWS without Kubernetes”“put my bento on a cloud VM”等时使用。Kubernetes 目标请改用 bentoml-k8s-deploy。

使用纯 kubectl manifest（不用 Helm、operator 或 BentoCloud/Yatai）将容器化的 BentoML 服务部署到 vanilla Kubernetes 集群。接收已推送的容器镜像（来自 bentoml-containerize 技能），探测 bento 的服务拓扑，为部署编写一份 `config.yml`，并据此为每个 BentoML 服务渲染一个 Deployment + Service（外加可选 HPA/Ingress），按依赖顺序应用，并用真实推理请求验证 rollout。当用户说“deploy my BentoML service to Kubernetes”“deploy this bento image to my cluster”“run my bento on k8s”“create k8s manifests for my bento”“split my bento services into separate pods”“expose my BentoML service in Kubernetes”等时使用。也可诊断失败的部署——“my BentoML pods are crashing”“ImagePullBackOff”“pod stuck Pending”“readiness probe failing”“rollout stuck”“can't reach my service on Kubernetes”“inference 4xx/5xx”。

检查并解读本地 Deep Agents Code 的 SQLite 会话存储中的对话。当 LangSmith trace 工具不可用、会话离线或未被追踪，或被要求识别与总结本地 dcode 线程、检查 checkpoint 元数据、列出最近的本地线程、解析 $DEEPAGENTS_HOME/.state/sessions.db 及线程 UUID 或前缀时，作为兜底方案使用。

在已有的 screenpipe、Codex、Claude、Cursor 与 Gemini CLI 会话中搜索说过什么，并在用户明确要求时继续或引导某个确切会话。用于查找另一个 agent 对话、回忆某 agent 说过什么，或将工作交给某一个会话。

关于本仓库（及另外 5 个 Netdata 官方仓库）文档如何成为 `learn.netdata.cloud` 已发布页面的权威参考。涵盖 `<repo>/docs/.map/map.yaml` 唯一事实源（真正的开关——文件系统路径与路由无关）、learn 仓库中现役的 `ingest/ingest.py` 编排器（不是遗留的 `ingest.js`）、frontmatter 注入、slug 规则、侧边栏自动生成、MDX 转义规则、版本化、四机制重定向栈、6 个源仓库、每 3 小时一次的 CI 摄取、Netlify 部署，以及 learn 仓库手写文件的 `part_of_learn=True` 启用方式。在增删改移文档页面、Learn 上的页面看起来不对、犹豫该在本仓库还是 learn 仓库编辑文档，或阅读 `ingest.py`、`sidebars.js`、`docusaurus.config.js`、`static.toml`、`LegacyLearnCorrelateLinksWithGHURLs.json`、`netlify.toml`、`.mdx` 中的 `<!--startmeta` 块、`ingest.yml` 与 `daily-learn-link-check.yml` 工作流时使用。

TaskFlow 示例模式：收件箱分诊、意图路由、等待回复与稍后汇总。

为任意领域设计与构建 AI agent。适用于用户：(1)要求“create an agent”“build an assistant”或“design an AI system”；(2)想理解 agent 架构、agentic 模式或自主 AI；(3)需要能力、subagent、规划或 skill 机制方面的帮助；(4)询问 Claude Code、Cursor 等 agent 内部实现；(5)想为业务、研究、创意或运营任务构建 agent。关键词：agent、assistant、autonomous、workflow、tool use、multi-step、orchestration。

跨会话、分支、评审与调研循环，治理有证据支撑的权威项目状态，不臆造产品意图。

在 deepseek-harness 仓库中编写、评审、恢复、精简或审计文案时使用，包括判定在 Markdown、JSDoc、代码与测试注释、提示词、描述、诊断信息、CLI 或 UI 文案中何处必须提供文档或注释。

Insecure deserialization exploitation across Java, PHP, .NET, Python, Node.js, and Ruby. Covers gadget chain construction with ysoserial/phpggc/ysoserial.net, ObjectInputStream and BinaryFormatter sink identification, pickle __reduce__ RCE, phar:// wrapper abuse, Jackson polymorphic typing, Json.NET TypeNameHandling, ViewState tampering, node-serialize IIFE injection, Ruby Marshal.load and YAML.load gadgets, framework-specific chains for Spring/Hibernate/Laravel/Symfony, modern attack surfaces including Kubernetes admission webhooks and message queue consumers, WAF bypass through encoding layers and content-type manipulation, and serialVersionUID/JMX/RMI vectors. Activate when the engagement involves deserialization sinks, serialized data in cookies or request bodies, gadget chain development, magic method abuse, ysoserial payload generation, or any review of marshalling and unmarshalling logic in target applications.

Kubernetes cluster attack techniques covering the full attack lifecycle from initial foothold in a pod to cluster-wide compromise. Covers service account token theft and impersonation, RBAC misconfiguration exploitation including wildcard permissions and privilege escalation via role binding, direct etcd access for secret extraction, kubelet API abuse on port 10250 and read-only port 10255, pod escape via hostPID hostNetwork and hostPath volume mounts, Kubernetes secrets enumeration and decoding, admission controller bypass techniques, network policy bypass and lateral movement, cloud metadata service access from pods for credential theft on AWS EKS GCP GKE and Azure AKS, CRD and operator abuse for persistence, and node compromise via DaemonSet deployment. Tools include kubectl, kube-hunter, peirates, kubeaudit, kdigger, kubeletctl. Maps to MITRE ATT&CK T1609 Container Administration Command, T1610 Deploy Container, T1613 Container and Resource Discovery. Use this skill when assessing Kubernetes clusters, att

先判定一个改变行为的修复是否需要应用内提示，需要时构建只触达受影响用户且日后可以移除的提示。当改动会在老用户不采取任何行动的情况下改变其所见——某个指标变了、图表偏移、计数下降、日期范围解析方式不同、匹配规则命中不同——以及添加、评审或移除此类提示时使用。触发词：behavior change、breaking change、semantics change、“results may differ”、change notice、deprecation banner、migration banner。载入门槛（用经过测试的谓词精确圈定受影响用户，否则干脆不发提示）、来自 `SqlInsightDateFilterNotice` 的模式、提示的锚定位置，以及基于 feature flag 的移除路径。不适用于新功能（用 changelog）、由后端计算的永久性逐对象警告，也不适用于措辞本身（见 `/writing-user-facing-copy`）。

用于前端/Web UI/UX/视觉相关工作时务必使用：构建、样式、重设计页面或组件、React 配置、性能审计、视觉 QA、品味与打磨。会路由到四套规则集：设计品味 router 与品牌参考、面向 Playwright/Chromium 的 Lighthouse/Core Web Vitals 完美规则、ui-ux-db 调色板/字体/规范、designpowers 人设/可访问性/评审/交付；外加仅用 curl 的 lazyweb 真实应用界面研究与 beui.dev 交互目录。触发词：frontend、UI、UX、design、redesign、styling、layout、animation、motion、interaction、micro-interaction、make it feel alive、premium、luxury、minimal、brutalist、Awwwards、DESIGN.md、mockup、React、Lighthouse、accessibility、WCAG、Core Web Vitals、looks generic、make it pretty、like X brand、lazyweb、design research。

为任意公开来源（招聘网站、价格、新闻、GitHub、体育赛事等）构建全自动的 AI 数据收集代理。按计划抓取，用免费 LLM（Gemini Flash）丰富数据，将结果存入 Notion/Sheets/Supabase，并从用户反馈中学习。完全免费地在 GitHub Actions 上运行。当用户希望自动监控、收集或追踪公开数据时使用。

在获取 Jira 工单、分析需求、更新工单状态、添加评论或流转问题时使用此技能。提供通过 MCP 或直接 REST 调用实现的 Jira API 模式。

X/Twitter API 集成，用于发布推文、推文串、读取时间线、搜索和数据分析。涵盖 OAuth 认证模式、速率限制和平台原生内容发布。适用于用户希望以编程方式与 X 交互时。

AI 原生的销售线索识别与触达流水线。以 Agent 驱动的信号打分、双向排序、熟人路径发现、基于来源的语调建模，以及针对邮件、LinkedIn 与 X 的渠道化触达，替代 Apollo、Clay 和 ZoomInfo。当用户希望找到、筛选并联系高价值联系人时使用。

在不改变工作负载语义的前提下，启动、监控、调试并收集单次 run 范围的 AIPerf Kubernetes 基准测试。在已通过冒烟测试的 Dynamo 部署完成 perf.yaml 和 aiperf-config.yaml 配置后使用。

当需要查找、读取、列出、搜索、查看、拉取、导出或重建跨 Codex、Claude Code/Desktop、OpenCode、OMO/Senpi/pi、oh-my-pi (omp)、gajae-code (gjc)、OpenClaw、Factory Droid、Amp、Gemini/Kimi/Qwen CLI、Codebuff、Roo/Kilo/Cline、Kodu、Cursor CLI、Aider、Aside 浏览器 agent 会话或未知本地 agent 日志时务必使用。覆盖 transcript、会话 ID、rollout JSONL、state SQLite、Claude projects/pre-compact 历史、OpenCode messages/parts、子/subagent 关联、cwd/model/时间/token 过滤、归档与成本线索。会把模糊回忆展开为并行查询通道，并先探测已知存储，从而低成本跳过不存在的平台。触发词：coding agent sessions、Codex/Claude/OpenCode/OMO/Senpi/pi/oh-my-pi/omp/gajae-code/gjc/OpenClaw/Droid/Amp/Kodu/Cursor/Aider/Aside sessions、transcript search、session history、session ID、read transcript、token usage、subagent sessions、what did I do yesterday、did we already do this。

将 Sentry 前端的视口 media query（@media、useMedia 及 screen: 前缀的响应式 props）迁移到 container query 的指南。在把响应式布局迁移到 container query、替换 @media/useMedia/screen: 断点、将带样式的响应式组件重构为 Container/Flex/Grid 原语，或参与 DE 的 container-query 迁移工作时使用。