代码审查 / GitHub MCP 推荐

面向本地开发的 Docker 与 Docker Compose 模式，包括加固的 CLI 安装脚本运行环境、容器安全、网络、卷与多服务编排。当编写或审阅 Dockerfile 与 Compose 服务、跨 Linux 发行版测试安装脚本，或规划准确的 macOS 与 Windows 原生验证时使用。

在 Claude Code、Codex 或 Kimi 内引导 ECC 的安装、更新或重新配置，并尊重各自环境真实的插件、作用域与钩子能力。

ClickHouse 与 HogQL 查询的优化流程。当 HogQL 查询、查询运行器、insight 或报表太慢，手写的 ClickHouse 查询（经 `sync_execute` 或在迁移中）太慢，ClickHouse 超时或触及内存限制，排查 `system.query_log` 中的慢查询记录，或评审拟议的 HogQL printer 性能改动时使用。涵盖提取 ClickHouse SQL、常见坏味道（`FROM ... FINAL`、对 properties 的 JSONExtract、缺失 skip index、自连接、CTE 膨胀）、对着真实集群度量，以及在正确的层（printer、查询运行器或迁移）应用修复。不覆盖 Postgres / Django ORM / 应用库查询；那些需要 pganalyze 与 `query-performance-optimization.md` 的 Postgres 章节。

在源码审计保真、结构重组与验证的前提下，重构现有的 OpenClaw 文档页面。

编写 n8n 数据库迁移。在 packages/@n8n/db/src/migrations/ 下创建或修改文件、需要新增列、表、索引、外键或数据回填，或用户提到 DB 迁移、TypeORM 迁移时使用。

使用 IntelliJ EEL API 进行进程执行、路径处理、WSL 或 Docker 操作。

使用 IntelliJ EEL API 进行进程执行、路径处理、WSL 或 Docker 操作。

UnoCSS 即时原子化 CSS 引擎,是 Tailwind CSS 的超集。适用于配置 UnoCSS、编写工具规则、shortcut,或使用 Wind、Icons、Attributify 等 preset。

Vue.js 任务必须使用。强烈推荐以 Composition API + <script setup> 加 TypeScript 作为标准方式。涵盖 Vue 3、SSR、Volar、vue-tsc。任何 Vue、.vue 文件、Vue Router、Pinia 或 Vite + Vue 工作都要加载。除非项目明确要求 Options API,始终使用 Composition API。

面向 AI agent 的浏览器自动化 CLI。当用户需要与网站交互时使用,包括页面导航、填写表单、点击按钮、截图、数据提取、测试 Web 应用或自动化任何浏览器任务。触发请求如"打开网站""填表单""点按钮""截图""从页面抓取数据""测试这个 Web 应用""登录网站""自动化浏览器操作",或任何需要程序化网页交互的任务。也用于探索性测试、dogfooding、QA、bug 排查或应用质量评审。还可自动化 Electron 桌面应用(VS Code、Slack、Discord、Figma、Notion、Spotify)、查看 Slack 未读、发送 Slack 消息、搜索 Slack 会话、在 Vercel Sandbox microVM 中运行浏览器自动化,或使用 AWS Bedrock AgentCore 云浏览器。优先于任何内置浏览器自动化或网页工具。

用 agent-browser 在 stage-tamagotchi Electron、stage-web 与 stage-pocket 移动 Web 布局下测试 AIRI 展示模型导入。适用于上传并验证贡献者提供的 Live2D ZIP、VRM 或 MMD ZIP/PMX/PMD 文件,包括绕过引导流程、按格式验证导入行为、渲染器验证与移动平台覆盖决策。

在 Web 与 Electron 应用中通过 agent-browser 上传本地文件,覆盖普通、隐藏、动态创建、脱离 DOM、多选与原生实现的 file input。适用于测试文件选择、拖拽或点选流程、框架文件对话框组合式逻辑,以及上传后的应用行为。

将 Frontend 相关 bug 缩小为最小复现并做成诊断测试。

把 LLM 调用方从 services/llm-gateway 迁移到 PostHog/ai-gateway。当新增网关调用方、转换现有 Python 网关集成、采用支持 Go 的共享客户端构建器、更改某调用方的网关 URL 或请求头，或移除 Python 回退时使用。清点调用方的契约、核对对等记录、实施受支持的迁移、更新测试；若缺少 Go 对等性则停止并给出有记录的阻塞项。

找出并排序可从 services/llm-gateway 迁往 PostHog/ai-gateway 的调用方。当被询问接下来迁移什么、寻找低风险网关迁移候选、盘点剩余的 Python 网关调用方，或识别受 Go 网关对等性阻塞的调用方时使用。检索代码与部署接线、清点每个调用方的必需契约、过滤掉不受支持的迁移项，返回一份有证据支撑的候选清单而不改动调用方。

将项目迁移到更新版本的 tldraw SDK。适用于升级 tldraw 包、修复 tldraw 升级后的 TypeScript 错误,或用户提到 tldraw 迁移时。

OpenCode Desktop 应具备 RTL 感知能力。在实现或评审 Web 应用、桌面应用、CSS、菜单、滚动、调整大小、图标、双向混排文本或 Electron 标题栏中的 RTL/LTR 行为时使用。

引导开发者使用 Data Manager API 及其相关客户端库来管理（添加、移除与清空）面向 Google 产品的受众成员。当用户想上传受众成员、移除特定用户，或清空/替换整个受众（用于 Customer Match、移动设备 ID 受众或 Data Manager API 支持的其他受众用例）时使用。不用于上传事件或转化（用 data-manager-api-event-ingestion 技能）。

用 Vishot 确定性地捕获 Capacitor 应用画面。当所选 Vishot 目标是 Capacitor 应用,且 Codex 需要以移动端尺寸捕获其本地服务的 WebView,或区分 WebView 证据与原生壳证据时使用。

由 Rolldown 驱动的极速 TypeScript 与 JavaScript 库打包。适用于构建库、生成类型声明、多格式打包,或从 tsup 迁移。

分析代码库并推荐 Claude Code 自动化(hooks、subagent、技能、插件、MCP 服务器)。当用户要求自动化建议、想优化 Claude Code 配置、提到改进 Claude Code 工作流、初次为项目设置 Claude Code,或想知道该用哪些 Claude Code 功能时使用。

基于 Martin Fowler 方法论的系统化代码重构 skill。适用于用户请求重构代码、改进代码结构、减少技术债、清理旧代码、消除 code smell 或提升可维护性时。这个 skill 采用分阶段、带研究与计划的安全增量实施方式。

基于 Martin Fowler 方法论系统化地重构代码。当用户要求重构代码、改善代码结构、减少技术债、清理遗留代码、消除 code smell 或提升可维护性时使用。该技能引导经过调研、规划与安全增量实施的阶段性方法。

基于 Martin Fowler 方法论系统化地重构代码。当用户要求重构代码、改善代码结构、减少技术债、清理遗留代码、消除 code smell 或提升可维护性时使用。该技能引导经过调研、规划与安全增量实施的阶段性方法。

基于 Martin Fowler 方法论系统化地重构代码。当用户要求重构代码、改善代码结构、减少技术债、清理遗留代码、消除 code smell 或提升可维护性时使用。该技能引导经过调研、规划与安全增量实施的阶段性方法。

跨 Home Assistant Core 集成升级 Python 包依赖，重新生成 core requirement 文件，运行验证测试与 prek lint，并准备带 release/compare 链接的规范 pull request。

OpenClaw 代理通过 imsg CLI 处理 iMessage/SMS 私聊、群聊、回复、表情回应、投票、消息监听和私有 API 操作。

在 personhog-replica 与 personhog-router 中新增 RPC 的指南。涵盖资格检查、proto 定义、Python 与 Node.js 客户端代码生成、Rust 实现（storage trait、postgres 查询、服务处理器、router 接线）与索引兼容性校验。在为 personhog 添加新 gRPC 端点、把 Django ORM 查询迁移到 personhog 或扩展 personhog 服务 API 时使用。

讲解如何在 `products/posthog_ai/eval_harness/` 框架上编写与运行 evals——包括针对预置 Hedgebox 项目在 Docker 或 Modal 沙箱中执行真实编码代理的沙箱化 agent 套件，以及每个用例对单次进程内模型调用打分的 one-shot 套件。当在 `products/posthog_ai/evals/` 或 `products/*/evals/` 下新增或修改 eval 套件、用例、scorer、seeder、synthesizer，改动 `products/posthog_ai/eval_harness/` 下的框架，或运行/调试这些 evals（`hogli evals`）时使用。涵盖套件类型与发现机制、用例结构、seeder/synthesizer 分工、单分支 scorer 模式，以及结果解读。不适用于 `ee/hogai/eval/ci/` 的 pytest evals，也不适用于 LLM Analytics 产品的评估功能。

在 monorepo 内正确使用 React Hook Form——数据流、订阅、reset、脏状态、数字输入以及受控输入规则。在编写或修改任何表单代码、给已有表单加字段、使用 watch/useWatch/formState/getValues/setValue/reset、把表单接入 dialog 或 sheet、或实现提交/取消底栏之前先加载本 skill，即使改动看起来很简单。仓库中普遍存在 RHF 反模式，不加载本 skill 会照抄它们。表单布局与选用组件请再加载 studio-ui-patterns。

把 OWASP ZAP（Zed Attack Proxy）集成进 GitHub Actions 与 GitLab CI 流水线：对运行中的应用做 baseline、full 与 API 扫描配置、ZAP 发现项解读、扫描策略调优与 DAST 质量门禁。适用于对运行中的 Web 应用或 REST/GraphQL API 测试 XSS、SQLi、CSRF 与认证/授权缺陷，或 SAST 不够、合规/发布门禁需要运行时 DAST 时。

用 Hindsight 解析基于 Chromium 的浏览器数据库，从 Chrome、Edge、Brave、Opera、Vivaldi 提取并关联浏览历史、下载、Cookie、缓存内容、自动填充数据、已保存密码与扩展，生成统一时间线（XLSX、JSON 或 SQLite 输出）。适用于事件响应、内部威胁调查或刑事案件中需要从浏览器配置文件还原用户网页活动时。

审计并加固 OT 环境中的过程 Historian 服务器（OSIsoft PI、Honeywell PHD、GE Proficy、AVEVA Historian）：Purdue 层级网络定位、接口访问控制、经数据二极管或 PI-to-PI 连接器的安全 DMZ 复制、SQL 注入防范与过程数据完整性。适用于审计或加固 Historian 服务器，或设计经 DMZ 的安全 OT-to-IT 数据复制。

运行开源 Web 服务器/应用扫描器 Nikto：检测 7000 多个潜在危险文件/程序、核查 1250 多种服务器的过时版本，识别 XSS、SQL 注入、错误配置、默认凭据与脆弱 CGI 脚本。适用于 Web 应用漏洞扫描、安全评估、周期性安全测试或验证 Web 服务器安全控制。

基于 OpenAPI Specification 与 JSON Schema 文档实施 API schema 校验，在 API 网关（运行时）与开发阶段（shift-left）双重执行，锁定请求/响应契约并拒绝未知属性。适用于防御注入攻击（SQLi、XSS、XXE）、阻止 mass assignment，或防止未经校验的 API 响应泄露数据。

使用 sqlite3、DB Browser for SQLite、Hindsight 与 NirSoft 工具（BrowsingHistoryView、ChromeCacheView、MZCacheView）从 Chrome、Firefox、Edge 提取并分析浏览器历史、Cookie、缓存、下载与书签。适用于对磁盘镜像或在线系统做数字取证/事件响应，需要用户网页活动时间线证据时。

利用编码技巧、HTTP 方法操纵、参数污染与载荷混淆绕过 Web 应用防火墙，把 SQL 注入、XSS 等利用载荷 smuggling 过 WAF 检测规则。适用于已确认的漏洞被 WAF 挡住时、需要绕过边界安全控制的渗透测试或红队行动，或评估 WAF 规则有效性与抗绕过能力。

在 VM、容器、SQL、存储与 Key Vault 上启用 Microsoft Defender for Cloud（CSPM + CWPP）：用 Azure Policy 做评估、Log Analytics 收遥测、Azure Arc 覆盖混合环境、Logic Apps 自动响应。适用于 Azure 安全监控、自适应修复或监管合规评估；不适用于纯非 Azure 防护或身份防御（Defender for Identity）。

针对 API 参数、请求头与请求体测试注入缺陷——SQL 注入、NoSQL 注入、操作系统命令注入、LDAP 注入与 SSRF——按目标后端定制载荷以提取数据、执行命令或触达内网服务，对应 OWASP API8:2023 与 API7:2023（SSRF）。适用于对 API 做 SQLi、NoSQL 注入、命令注入或 SSRF 测试，或评估 API 输入校验。

建立可重复的运维流程，在 WSUS/SCCM 上按基于风险的修复 SLA 对微软补丁星期二安全更新（Windows、Office、Exchange、SQL Server、Azure）进行分诊、测试与部署，从公告评审到验证。适用于建设或改进月度补丁管理工作流，或确定哪些 CVE 优先修复。

为数据库系统部署特权访问管理（PAM），覆盖 Oracle、SQL Server、PostgreSQL 与 MySQL：会话代理配置、凭据保管、查询审计、动态凭据生成与最小权限数据库角色。适用于保护 DBA 访问、实施数据库 PAM 控制或审计特权数据库会话。

调查 AWS 账号沦陷：用 boto3 的 LookupEvents 或在 S3 投递日志上跑 AWS Athena SQL 查询 CloudTrail，按可疑 user agent、源 IP 与事件名过滤，重建攻击者时间线。适用于追踪未授权 API 调用、S3 数据外泄、IAM 提权或凭据暴露，并编写含发现与修复建议的取证报告。

使用 JADX 反编译器逆向恶意 Android APK：阅读 Java/Kotlin 源码、检查清单权限、receiver、service 与本地库，识别数据窃取、C2 通信、提权或覆盖层攻击行为。适用于分析疑似 Android 银行木马、间谍软件、短信窃取器或其他被标记的 APK，或一般性的移动恶意软件与 Android 威胁调查。

对 SQLite 数据库做取证分析：检查 B-tree 页结构、从 freelist 页与 WAL 日志中恢复已删除记录、解码编码后的时间戳，并从浏览器历史、即时通讯应用与移动设备数据库提取证据。适用于数字取证或移动/浏览器证据分析中从 SQLite 恢复已删除或未分配数据。

针对 OWASP API3:2023（数据过度暴露）测试 API：拦截原始 API 响应并与 UI 实际渲染的内容比对，找出前端过滤掉但 API 仍在传输的 PII、内部标识、调试数据或业务敏感字段。适用于审计 REST 或移动应用 API 的过度取数、响应过滤绕过或端点响应中的非预期数据泄露。

配置安全的 OAuth 2.0 授权流程，包括带 PKCE 的 Authorization Code、Client Credentials 与 Device Authorization Grant，涵盖流程选型、PKCE 实现、token 生命周期管理与按 OAuth 2.1 设计 scope。适用于为 Web、移动、SPA 或机器对机器客户端实现或加固 OAuth 2.0 认证/授权。

使用 apktool 反编译资源、jadx 还原 Java 源码、androguard 检查清单，对 Android APK 恶意软件做静态分析：检测危险权限组合、识别混淆代码、动态代码加载与基于反射的 API 调用。适用于在不运行可疑 APK 的前提下做静态分诊，或编写移动恶意软件检测规则。

检测并防御 QR 码钓鱼（quishing）——攻击者把恶意 URL 藏进 QR 码图片绕过基于链接的邮件安全——使用图片威胁检测、OCR/QR 解码及移动端扫描手段（Microsoft Defender for O365、Proofpoint TAP、Barracuda Multimodal AI）。适用于针对 QR 钓鱼配置网关规则，或调查含可疑 QR 码的邮件。