代码审查 / GitHub MCP 推荐

将杂乱或 AI 生成的爬虫代码重写为符合 zavod 最佳实践的整洁、生产级代码。当用户要求清理、重构、整理爬虫代码、“达到生产可用”或对齐最佳实践时使用。

指导通过 Computer Use 浏览器工具完成 n8n 凭据配置。当用户需要从外部服务的控制台获取 OAuth 应用、API key、client ID、client secret 或其他凭据值时使用。

HashQL 测试策略，包括 compiletest（UI 测试）、单元测试与快照测试。在为 HashQL 代码编写测试、使用 //~ 注释、运行 --bless、调试测试失败或选择合适的测试方法时使用

构建或扩展 LobeHub Agent Signal 管道。用于信号源、信号/动作类型、策略、中间件、工作流转交、去重、作用域行为或可观测性。

将 Chrome 桌面端 Browser 作用域的逻辑（如 Browser 与 BrowserWindow 方法及其状态）重构为由 BrowserWindowFeatures 持有的封装特性控制器。

覆盖六大标准的 OWASP 对齐安全指南合集——Web 应用 Top 10（2021）、ASVS 5.0、移动端 MASVS v2.1.0、API 安全 Top 10（2023）、Kubernetes Top 10（2022），以及面向 AI/LLM 的 Agentic Applications 2026 版。用于安全评审、漏洞审计、安全认证/加密/访问控制的实现、Kubernetes 清单加固，以及 LLM/智能体提示注入防护；也包括间接提问，例如这个登录流程安全吗、审查这个接口、审计我的 pod spec。

通过官方 automations 插件创建并管理 bb 自动化。使用 bb 自动化命令安排重复性或一次性的智能体/脚本工作时使用。

判定新测试是否值得存在并强制其高效，保护 CI 不被低价值测试堆爆。在新增或大幅修改任何 pytest、Jest、Playwright 测试之前——即 agent 或工程师准备为新功能、bug 修复、PR 写测试时使用。前置两道门槛：价值门槛（每个测试必须能捕获现有测试未覆盖的真实回归；通过公共接口测行为而非实现细节；近似重复折叠为参数化用例）与效率门槛（确定性、隔离、快；选最便宜的测试层级；用 Django TestCase 而非 TransactionTestCase；不许 sleep、不许真实联网）。含"不要写它"决策树。修复既有 flaky 测试用 /fixing-flaky-tests；若本门槛判定需要 Playwright 测试，用 /playwright-test 处理写法。

在面向 Android/iOS 时使用——导出与签名、权限、插件、应用内购买、广告、应用生命周期、设备特性以及移动性能。

通过 CDP 直接控制浏览器。当用户想自动化、抓取、测试或与网页交互时使用。连接的是用户已在运行的 Chrome。

刷新 Source/ 下的 API 兼容性基线（CompatibilitySuppressions.xml）。删除现有抑制文件，通过 `dotnet pack -p:ApiCompatGenerateSuppressionFile=true` 重新生成，然后审查 diff，把一切非 `LinqToDB.Internal.*` 的 API 变更标记出来提请用户显式批准。

对代码库做安全审计——Web 应用、API、服务、CLI 工具、库、守护进程等均可。在需要发现安全缺陷、做安全评审、漏洞审计或对代码做渗透测试时使用。聚焦真实可被利用、有实际影响的问题，不涉及理论风险或行业惯例行为。

强制 TypeScript 严格模式与类型安全。在初始化项目、审查代码或类型错误被忽略时使用。涵盖严格标志、no-any 规则与类型推断最佳实践。

在审查 API 路由、服务端逻辑、Express/Node.js 代码或后端架构时自动调用。强制 REST 约定、中间件模式与关注点分离。

在任何视觉产物开工前产出结构化设计规范（DESIGN.md + 结构布局 + 决策记录）——这一“蓝图”阶段让 AI 生成的设计摆脱模板感。当用户要求设计、规划、做样机或重构任何视觉输出时使用——PPT/幻灯片、落地页、仪表盘、海报、图表、信息图、营销页、UI 组件、原型、插画——即便他们只说“做个关于 X 的幻灯片”或“帮我搭一个 Y 页面”。当用户要求以原则驱动、规格先行的方式（而非表面修饰）批判或改进既有设计时也触发。不要在用户已提供完整 DESIGN.md 且只想写实现代码时触发（交给 frontend-design 或直接实现）。

为运行 Nextflow 训练示例搭建 Docker 容器。处理基础配置、Docker-outside-of-Docker（DooD）以在容器内调用容器、ARM Mac 平台模拟与故障排查。适用于需要在一致环境中运行 Nextflow 示例时使用。

分析原生 Android 应用并制定测试策略——安装测试库、搭建测试基础设施，并为单元测试、UI 测试、截图测试与端到端测试创建测试装置。

协调后端开发任务（API、服务、数据库）。在实现 REST API、业务逻辑、数据模型或服务集成时使用，并应用 backend-standard.md 作为质量闸门。

在编写或审查 TypeScript 代码时使用。强制执行严格模式标准、显式类型与最佳实践，防止 any 类型、@ts-ignore 注释与非空断言。这是一项全面技能——在编写任何 TypeScript 之前请查阅详细指南。

严格的 TypeScript 规则。在编写任何 TypeScript 时使用。

在处理 Next.js 15 特性、App Router、Server Components、Server Actions 或数据获取模式时使用。确保 Server 组件与 Client 组件及现代 Next.js 模式的正确用法。

Next.js 15 App Router 模式与最佳实践。

在提交前重构并清理未提交的变更。消除重复、重命名不清晰的领域概念、在类似变更可能出现时收敛散弹式修改、移除无用/仅测试用/冗余代码，并将超过 250 行的文件拆分为内聚模块，同时确认相关测试仍然通过。在完成一个阶段或子阶段后、提交前使用，或开发者要求清理当前变更时随时触发。触发词：refactor change、clean up change、post-change refactor、before commit cleanup、tidy current change。

Phoenix AI 可观测性平台的前端开发准则。在 app/ 目录编写、审查或修改 React 组件、TypeScript 代码、样式或 UI 功能时使用。任何前端任务都会触发——新组件、UI 变更、样式、无障碍修复、表单处理或组件重构。用户询问本项目前端约定或组件模式时也使用。设计系统规则（错误展示、布局、对话框、令牌）请改用 phoenix-design 技能。

为 TypeScript 代码编写有效的 JSDoc 注释。提供文档格式、放置策略、最佳实践以及何时写文档、何时让代码自解释的指导。有助于保持代码清晰与 IDE 支持。

打造独具特色、生产级品质的 UI。在创建或重塑面向用户的界面、组件、页面、布局、视觉重设计、响应式行为、加载/错误/空状态，或涉及无障碍的前端工作时使用。

Kubernetes 运维：调试、安全、RBAC 与基础设施工具。

Kubernetes 安全：RBAC、PodSecurity 与网络策略。

针对 pod 故障与网络问题的 Kubernetes 调试。

撰写或编辑 docs/**/*.mdx 下的 c15t 文档——c15t.com 站点与随已发布包分发的文档均以它为源。在编写指南、集成页面、参考文档、修改包内文档（packages/*/docs、packages/*/AGENTS.md）或修复文档 lint 失败时使用

Golang 的安全最佳实践与漏洞预防，覆盖注入（SQL、命令、XSS）、加密、文件系统安全、网络安全、Cookie、密钥管理、内存安全与日志。在编写、评审或审计 Go 代码安全性，或处理涉及加密、I/O、密钥管理、用户输入、鉴权的风险代码时应用，也包含安全工具的配置。

使用 hadolint、Trivy 和 Grype 审计 Docker 镜像与 Dockerfile 的安全漏洞、臃肿问题和最佳实践违规，输出带严重度分级和可执行修复建议的结构化报告。当用户想检查 Docker 镜像安全问题、扫描容器漏洞、审计 Dockerfile、加固镜像、缩小镜像体积、减少攻击面、查看容器 CVE，或问“这个 Dockerfile 安全吗”“扫描我的镜像”“检查我的容器漏洞”“怎么让镜像更小”“审计我的 Docker 配置”“加固这个容器”时使用。用户刚创建或修改 Dockerfile 并希望出货前验证时也应触发。

通过 5 种技术从 Docker 容器逃逸并获得宿主机 root 权限。

维护 Infection 的 Docker Sandbox 镜像与 sbx 模板。当需要添加、移除或升级沙箱工具，更改 PHP 沙箱镜像，更新 Codex 沙箱遥测，重建或加载 codex-infection 沙箱，或排查 devTools/sbx 镜像与测试失败时使用

Kubebuilder 的 CLI 命令与 flag 描述标准。在编写或审查 CLI flag、命令或帮助文本时使用。

为后端 Django 项目创建集成 Ralph Wiggum Loop 的结构化计划目录。生成 PLAN.md（任务索引）、任务文件与 RALPH-PROMPT.md（供 ralph-loop 使用的实际提示词）。用于需要质量闸门与验证的严谨迭代式实现。

从更强模型蒸馏的后端工程判断经验——在选择技术栈、语言、数据库、队列或架构时调用；在设计服务、API、业务逻辑或 schema 时；在让系统达到生产可用（可观测性、故障处理、安全）时；或评审服务端代码、判断代码库健康度时。包含场景化技术栈取舍、逻辑设计规则、数据纪律、生产底线，以及“腐烂目录”（代码不可维护的早期征兆）。

为 Unite-Hub 处理后端/API/数据库工作。实现 Next.js API 路由、Supabase 数据库操作、RLS 策略、认证以及第三方集成（Gmail、Stripe）。

Next.js 16 App Router 页面混合静态与动态内容——Cache Components 模型下的 Partial Prerendering（PPR）。涵盖：用 cacheComponents 启用 PPR（已移除的 experimental.ppr / experimental_ppr 标志）、默认动态的渲染模型反转、Suspense 的静态外壳/动态空洞边界、'use cache' 指令（自动键、cacheLife/cacheTag、children/action 透传、运行时值作 props、无服务器环境的持久性）、异步运行时 API 与 connection() 制造非确定性、页面组合（从单个空洞到并行仪表盘，再到用 use() 把 Promise 流式传入 Client Component），以及表单/向导中用 updateTag 实现读己之写并保持 Activity 状态。触发词：PPR、cacheComponents、'use cache'、Suspense 流式渲染、部分预渲染或静态外壳工作——即使未明确点名。

Next.js 16 包体积与构建时长优化——运行数据驱动的迭代循环：测量基线 → 分析最大占用项 → 应用一个优化配方 → 重新测量 → 验证一切未被破坏（构建 + 类型 + 测试 + 无回退）→ 提交或回滚。面向默认启用 Turbopack 的 Next.js 16，项目尚未迁移时回退到 webpack 模式工具链。触发语句如“First Load JS is huge”“bundle size”“build takes too long”“page is slow to TTI”“reduce bundle”“tree-shake”，或用户贴出 `next experimental-analyze` / `@next/bundle-analyzer` 的输出时——即便没有明说“优化”。

使用 Jest 与 React Native Testing Library 为 React Native 应用编写并运行测试。在创建测试、调试失败用例或搭建测试基础设施时使用。

发布新的 imcui 版本并部署到 HuggingFace Spaces（测试环境 → 生产环境）。当用户要求发布、部署或推送新版本时调用。

启用与 NetAlertX 运行时的实时交互。此技能配置 Model Context Protocol（MCP）连接，授予完整 API 访问权限，用于调试、故障排查与实时操作，包括数据库查询、网络扫描与设备管理。

运行测试前必读。详细说明：单个标准单元测试（快）、完整套件（慢）、认证处理，以及获取 API Token 的方法。任务完成时必须运行测试。

Phoenix monorepo 中任何 TypeScript 代码的规范与模式——包括 js/packages/、app/ 及其他 TS 目录。只要编写、审查或修改 TypeScript 代码（新函数、类型、导出、测试或重构）就使用本技能。当用户询问本项目的 TS 模式、命名约定或最佳实践时也触发。

在近期变更后执行以简洁为目标的重构清理。当用户要求重构/清理、简化、移除死代码或说“重构一遍”时使用。

当测试目标是 Android（APK / AAB）或 iOS（IPA）应用时使用。涵盖静态分析（jadx、apktool、class-dump）、基于 Frida 与 Objection 的动态插桩、SSL pinning 绕过、root/越狱检测绕过、deep-link / URL scheme 滥用、导出组件攻击、IPC 重定向、WebView 漏洞，以及生物识别 / Face ID / Touch ID 绕过。

在 Next.js App Router 中使用 SSR 安全的 useUrlState。从服务端页面转发 searchParams（在 Next.js 15+ 中 await 该 Promise），在纯客户端组件中调用 useSearchParams()，在 useHistory true/false 之间取舍，并使用 Proxy（前身是中间件）向服务端布局暴露查询参数。仅支持 App Router——不支持 Pages Router。在使用 state-in-url/next 或任何需要首屏 URL 状态正确的场景下加载此技能。