代码审查 / GitHub MCP 推荐

生成安全组相关操作，属于 AWS Skills 的自动激活 skill。触发词：security group generator、security generator、security。在处理 AWS 安全组生成功能时使用。

生成安全策略相关操作，属于 Security Advanced 的自动激活 skill。触发词：security policy generator、security generator、security。在处理安全策略生成功能时使用。

管理安全基准评测执行相关操作，属于 Security Advanced 的自动激活 skill。触发词：security benchmark runner、security runner、security。在处理安全基准评测执行功能时使用。

生成安全响应头相关操作，属于 Security Fundamentals 的自动激活 skill。触发词：security headers generator、security generator、security。在处理安全响应头生成功能时使用。

根据风格描述从内置设计系统库中匹配最合适的设计系统，提供设计规范供后续设计工作使用。

应用从仓库 GitHub Security Advisories 中提炼出的 RustFS 安全经验。在提交或评审 RustFS 代码改动、做安全检查、处理认证/授权、IAM、存储、RPC、日志、CORS、控制台/浏览器、加密、策略或接口相关改动时使用，也用于判断需要补充哪些安全回归测试。

执行安全重构。

编写和编辑优秀 skills 的参考：让技能可预测的词汇和原则。

面向 Web UI 的反模板化前端设计——落地页、作品集、营销/产品站点及改版。阅读需求、推断合适方向，交付不显模板化的界面。适用时使用真正的设计系统，改版时先做审计，严格执行预飞检查。不适用于移动应用。

来自 Vercel 工程团队的 React 与 Next.js 性能优化。在构建 React 组件、优化性能、消除瀑布流、减小包体积、审查性能问题或实现服务端/客户端优化时使用。

使用 PilotDeck 的 browser-use 插件完成浏览器自动化、截图、表单填写与 Web UI 检查。

理解并探索 Omi Flutter 移动应用的 UI 流程、导航模式与 widget 架构。在 app/lib/ 下的 Dart 文件中开发功能、修复缺陷或验证变更时使用。提供 agent-flutter 命令以探索运行中的应用、理解页面衔接方式并验证你的工作。

通过 Apify actor 抓取社交平台、商业数据与电商内容——Instagram、LinkedIn、TikTok、YouTube、Facebook、Google Maps、Amazon 及通用网页爬取——并在代码中过滤。适用场景：抓取 Instagram/LinkedIn/TikTok/YouTube/Facebook、Google Maps 销售线索、Amazon 评论、商业智能、多平台社媒监听、竞品分析、线索生成、社媒监控、Apify actor、网页爬取、提取联系人。不适用于 X/Twitter 操作（用 _X）、四级代理递进式抓取（用 BrightData）、真实 Chrome 反爬绕过与 computer use（用 Interceptor）。

在 APM CLI 代码库中创建新模块、重构类层次、引入设计模式，或进行横跨 3 个以上文件的改动时启用。

在 APM CLI 代码库中创建新模块、重构类层次、引入设计模式，或进行横跨 3 个以上文件的改动时启用。

Node.js/Express/TypeScript 微服务的完整后端开发指南。在创建路由、控制器、服务、repository、middleware，或使用 Express API、Prisma 数据库访问、Sentry 错误追踪、Zod 校验、unifiedConfig、依赖注入或异步模式时使用。涵盖分层架构（routes → controllers → services → repositories）、BaseController 模式、错误处理、性能监控、测试策略，以及从遗留模式的迁移。

React/TypeScript 应用的前端开发准则。包含 Suspense、懒加载、useSuspenseQuery、按 features 目录组织文件、MUI v7 样式、TanStack Router、性能优化与 TypeScript 最佳实践等现代模式。在创建组件、页面、功能模块、拉取数据、写样式、路由或处理前端代码时使用。

检查 Rust 变更中的 SQLx 查询。修改了新增或变更 SQLx 查询的 Rust 代码后使用：确保使用编译期 SQLx 宏、运行 `just prepare_db` 更新离线查询缓存，并审阅查询的性能与安全问题。

使用 `sqlx migrate add <name>` 创建 SQLx 迁移文件。当被要求添加、创建或生成 sqlx/sqlx-cli 数据库迁移时使用。

智能重构指令。触发词：refactor、refactoring、cleanup、restructure、extract、simplify、modernize。

移除分支改动或明确文件列表中的 AI 生成代码异味（slop）。先用回归测试锁定行为，再通过批次为 5 的并行 deep agent 执行分类清理，最后用质量门禁验证。覆盖 10 类 slop，包括性能等价性、过度复杂（对象标注、if/elif 分支链）与超大模块（250+ 有效 LOC，并强制做模块化重构）。当用户要求 “remove slop”“clean AI code”“deslop”“clean up AI-generated code”“remove AI slop” 或清理近期改动中 AI 生成模式时务必使用。触发词：remove ai slops、clean ai code、deslop、cleanup AI generated、remove AI slop、clean up AI-generated code、strip slop、ai-slop cleanup。

打造独特、生产级、高设计质量的前端界面。在构建 Web 组件、页面、产物、海报或应用（网站、落地页、仪表盘、React 组件、HTML/CSS 布局，或对任意 Web UI 做样式美化）时使用。生成富有创意的精致 UI，避免千篇一律的 AI 审美。

如何为 agent-native 应用或模板写出优秀的 agent 指令：AGENTS.md、skills 及工具/动作描述。在撰写或评审 AGENTS.md、编写 SKILL.md、措辞 action 描述，或决定内容该放指令、skill 还是记忆时使用。

支持自然语言条件的事件触发与定时触发自动化。在创建自动化、接线事件，或理解触发器如何触发时使用。

代理自动化的总入口：选择

加固代码以抵御漏洞。在处理用户输入、认证、数据存储或外部集成时使用。任何接受不可信数据、管理用户会话或对接第三方服务的功能开发均适用。

管理 Agent Framework Python monorepo 中包的指南，包括新建连接器包、版本管理与 lazy-loading 模式。在添加、修改或发布包时使用。

在将编码或仓库工作委派给外部终端编码 agent（用户的宿主 Claude Code/Codex/Cursor/Gemini CLI，或容器内安装的 pal agent）时使用。

Audit README, SPEC, and PRODUCT docs against recent git history for drift and make minimal PR-ready edits. Use when asked to review docs for accuracy, after major feature merges, or on a schedule.

Iterate on a GitHub PR until latest-head checks are green or a precise blocker is named. Use when a PR still has failing or pending checks after review fixes, including after greploop.

Check a GitHub, GitLab, or Perforce PR/MR/CL for review comments, failing checks, and PR-body gaps. Use when asked to inspect, fix, or prepare a change for submission.

Handle confidential GitHub Security Advisory response for Paperclip. Use when coordinating advisory triage, private-fork fixes, CVE/publication steps, and immediate security releases.

当某项操作 issue 属于 Paperclip 的光标窗口、蒸馏或回填时使用。把随源捆绑的 Paperclip 活动转化为有洞察的项目站会、持久项目页、决策与历史，无需解引用资源。

LobeHub React 组件约定。在编辑 TSX UI、于 base-ui 与 @lobehub/ui 及 antd 间做选择、用 antd-style 写样式、路由、桌面变体、布局与组件状态时使用。

按写作指南审查或撰写文档/文案。当被要求“审查我的文档”“检查写作风格”“审计文案”“评审文档语气语调”“对照写作手册检查此页”时使用——并在编写或编辑 docs/src/content/docs/ 下的内容时主动应用，这是本仓库的默认文档风格。

产品经理的年终自我复盘——职责、成果、成长与诉求，全部有证据支撑。以面向上级与评审委员会的决策级职业幻灯片构建。

面向全体员工的 IT 安全意识培训——识别钓鱼邮件的征兆、演练与最初 60 秒该做什么。以决策级专业培训幻灯片形式构建。

用于开发或修改 @handsontable/react-wrapper 包——React 组件、hooks、settings 映射、updateSettings 期间的选区保持，以及该封装的 TypeScript prop 类型与生成的 .d.ts。当任务触及 HotTableProps/HotColumnProps 类型或 <HotTable>/<HotColumn> 的 IDE 自动补全、声明构建，或反馈 React/TypeScript 用户得不到 prop 建议时使用——即便未显式提到该封装。

Refactor 主入口。触发：优化/重构/拆分/性能/代码太长，且不改变行为、不新增需求。不要用于新增功能(cs-feat)、修复 bug(cs-issue)、对外文档(cs-docs)、大需求拆解(cs-epic)。

分析 Agent Host 调试日志导出。在拿到 ah-logs 或 ahp-logs 压缩包/目录、Export Agent Host Debug Logs 导出的内容、events.jsonl、AHP JSONL 传输日志、Agent Host.log、remote-agenthost.log 或 copilot-logs 时使用。

查找并读取 Code OSS 开发版构建中带时间戳的进程日志，包括 main.log、renderer.log、扩展宿主日志与 agenthost.log。若日志来自 Export Agent Host Debug Logs 导出的压缩包，请改用 agent-host-logs。

Coordinate a full Paperclip release across engineering verification, npm, GitHub, smoke testing, and announcement follow-up. Use when leadership asks to ship a release, not merely to discuss versioning.

适用于任何编码任务（编写、重构、修复、审查）的偷懒资深开发模式：YAGNI、标准库优先、不做未经要求的抽象。不适用于非编码请求。

端到端完成工程博客写作：发布深度解读、故障复盘、架构迁移、性能案例、教程、AI/agent 系统记录、安全披露，以及从研究到产品的转化文章。选对文章原型、规划抽象阶梯、遵循证据节奏（图示、基准测试、profile、trace、代码、消融实验），按 Datadog、Vercel、GitHub、AWS、Meta、Cloudflare、Jane Street 等发布方的行文风格校准语气，并在发布前用叙事推进与披露伦理两道门禁检查。在起草新的工程文章、重构成色平淡的初稿、判断某种证据该放在何处、校验技术深度与产品背景是否均衡，或为对外发布准备故障复盘、迁移、性能叙述时使用。不用于 API 参考文档、README、营销文案、release notes、泛 SEO 内容、代笔高管观点文章，以及非工程类长文。

编写、重构与调试 agent skill。在从零创建新 skill、精简或重组臃肿的 SKILL.md、收紧 skill 描述里的触发条件，或诊断 agent 忽略内嵌 references 时使用。不用于 CLAUDE.md、AGENTS.md 这类 agent 指令文件（改用 agent-md-refactor）、一般文档或 README。

用 Martin Fowler 的代码坏味道与技术目录审计代码库的重构机会——过长函数、重复代码、高耦合、复杂条件、基本类型偏执——并把按优先级排序的报告写到 docs/_refacs/。在审计代码质量、规划重构冲刺或检查架构健康度时使用。不用于风格/格式化、性能或安全审计。

关于“写出能暴露 bug 而非侥幸通过”的测试准则，覆盖软件与 LLM/AI 系统。在编写或评审测试、新增 mock、判断测试该放在哪一层、让编码 agent 生成测试、排查 flaky CI、为 LLM/agent 功能设计 eval 套件，或重建脆弱的测试集时使用。不用于通用代码评审、与测试无关的库调试、超出测试范围的 CI 流水线设计，或生产可观测性。

掌握 TypeScript 的高级类型系统，包括泛型、条件类型、映射类型、模板字面量类型与工具类型，用于构建类型安全的应用。在实现复杂类型逻辑、编写可复用的类型工具，或保证 TypeScript 项目的编译期类型安全时使用。不用于纯 JavaScript、运行时校验库（Zod、Yup）或基础的 TS 语法问题。