代码审查 / GitHub MCP 推荐

运用 Kubernetes 与 Kustomize 模式管理部署、服务与 overlay。在编写或评审 K8s 清单时使用。

从项目源码生成生产可用的 Dockerfile，自动识别语言/框架，并产出基于最小化、distroless 或 slim 基础镜像的多阶段构建。当用户想为应用容器化、创建 Dockerfile、把项目 dockerize、构建 Docker 镜像，或说“让这个应用跑在 Docker 里”“为这个应用创建容器”“我需要一个 Dockerfile”“为部署打包”“把这个服务容器化”时使用。当用户已有 Dockerfile 并希望按生产标准重写，或咨询项目的 Docker 最佳实践时也应触发。

CSS 应该放在哪里。Claude 默认会堆一个巨大的 <style> 块或散落 style="..." 属性，而不是把样式放进 .css 文件并链接。在构建或编辑网页/组件，或即将编写 style 属性或嵌入式样式块时使用。涵盖默认使用外部样式表、为何内联 style 属性是个陷阱，以及内联确实正确的少数场景（通过自定义属性传动态值、关键 CSS、单文件产物、邮件）。

生产级 Docker Swarm 部署规则：compose 文件从单节点扩展到多节点 Swarm 时会发生什么。在编写或审查 stack 文件、deploy 块、overlay 网络或用 docker stack deploy 部署的任何内容时使用。涵盖 Swarm 会静默忽略的指令、固定 IP 与 bind mount 为何失效、deploy 编排块，以及 Swarm 自愈所依赖的退出码与健康检查纪律。与覆盖镜像和 compose 文件本身编写的 docker 技能互补。

编写 Dockerfile、Compose 文件与 Swarm stack 的生产级 Docker 最佳实践。在创建或编辑 Dockerfile、docker-compose / compose.yaml 或 stack 文件，或构建与优化镜像时使用。修正 Claude 常犯的几个问题：多阶段构建、层缓存顺序、exec 形式 ENTRYPOINT 以保证正确的信号与退出码、init:true、将密钥与环境变量排除在镜像外、非 root 用户与健康检查。立足生产而非默认值。

Initialize a new Ruflo project with MCP tools, hooks, and agent configuration. Use when setting up Ruflo in a fresh repo, or when the user says "init ruflo", "set up ruflo", or asks how to bootstrap the MCP server, hooks, and agent configs from scratch.

从当前检出为 x86_64、aarch64、armv6l 或 armv7l 构建静态自解压 Netdata 安装器（`netdata-<arch>-latest.gz.run`）。当用户要求构建/产出/打包/测试静态二进制、makeself 安装器、`.gz.run` 制品或 Netdata「静态安装」；在 Linux 机器上无本地构建工具链验证 PR；或在本地复现 CI static-builder 问题时使用。涵盖 `packaging/makeself/` 下基于 Docker 的构建流程、强制前置检查（子模块初始化、全新 `netdata/static-builder:v1` 镜像）、构建按序执行的 18 个 job、制品输出布局、`artifacts/cache/` 复用模型、跨架构 QEMU 注意事项、调试构建、常见故障及其修复，以及如何在目标主机上复制/校验制品。

审计 SkiaSharp 原生依赖的安全漏洞与 CVE，包括 SkiaSharp-Native 与 SkiaSharp Azure DevOps 流水线的 Component Governance（CG）告警。只读调查，输出带建议的状态报告。当用户要求：审计安全问题或 CVE、检查各依赖的 CVE 状态、寻找安全问题及其 PR 覆盖、汇总未修复漏洞、查看待处理的安全工作、检查 Component Governance 告警、评审原生构建流水线的 CG 告警时使用。触发语：“security audit”“audit CVEs”“CVE status”“what security issues are open”“check vulnerability status”“security overview”“what CVEs need fixing”“CG alerts”“component governance”“check container CVEs”。本技能为只读。要实际修复问题，请使用 `native-dependency-update` 技能。

面向核心代码改动、公共头文件、代码风格与 Doxygen 的 SQLiteCpp 编码规范和 API 规则。

编写、修改或调试位于 ts/e2e-tests/cli 的 Docker 化 Composio CLI 端到端测试，包括二进制调用、fixture 隔离、输出断言与包清单。仅用于 CLI E2E 测试套件；实现 CLI 源码请使用 cli-command 技能。

使用 nox、Makefile 目标、Ruff、mypy、pytest marker、sanity 测试、类型推断检查与构建检查来挑选并执行 Python SDK 校验。在新增 Python 测试、诊断 Python CI 或验证 Python SDK 与 provider 改动时使用。不要用于仅涉及 TypeScript 的检查。

在 python/composio 下实现或修改 Python SDK 行为，涵盖 tools、toolkits、sessions、auth configs、connected accounts、客户端集成与共享 Python 模型。用于 Python 核心运行时与 API 工作；若需与 TypeScript 对齐，请配合 python-testing 与跨 SDK 一致性检查。

处理 Python SDK 的发布、构建、版本号提升、打包元数据、PyPI 客户端版本锁定、uv.lock、nox 与构建工作流，以及发布校验相关的改动。用于 Python 发布流程工作或依赖版本调整；常规 Python 特性实现不要使用。

在 python/providers 下创建、修改、测试或打包 Python provider 适配器，包括框架相关依赖、公开导入、类型推断与 provider 元数据。仅用于 Python provider 工作；core SDK 改动请使用 python-sdk。

为包、示例、类型检查、lint、构建、Vitest 套件与运行时 E2E 测试选择并执行 TypeScript SDK 校验。在新增测试、诊断 TypeScript CI、挑选聚焦的测试命令或验证 TypeScript 包改动时使用。不要用于仅涉及 Python 的检查。

在 @composio/core 或共享 TypeScript 包中实现或修改 TypeScript SDK 行为，涵盖 tools、toolkits、sessions、auth configs、connected accounts、modifiers 以及生成的 SDK 接口。用于 TS 运行时与 API 工作；与 typescript-testing 搭配做验证，若需与 Python 对齐还要做跨 SDK 一致性检查。

在 ts/packages/providers 下实现、修改或编写 TypeScript provider 包及其文档，包括 OpenAI、Anthropic、Google、LangChain、Mastra、Vercel、LlamaIndex、Cloudflare 与 Claude Agent SDK 的框架适配。仅用于 provider 相关的 TS 工作；纯 core 改动不要使用。

面向 AI agent 的浏览器自动化 CLI。当用户需要与网站交互时使用，包括导航页面、填写表单、点击按钮、截图、提取数据、测试 Web 应用，或自动化任意浏览器任务。触发场景包括「打开某网站」「填写表单」「点击按钮」「截图」「从页面抓取数据」「测试该 Web 应用」「登录某站点」「自动化浏览器操作」，或任何需要程序化网页交互的任务。也用于探索性测试、自用体验、QA、缺陷排查或审阅应用质量。还用于自动化 Electron 桌面应用（VS Code、Slack、Discord、Figma、Notion、Spotify）、查看 Slack 未读、发送 Slack 消息、搜索 Slack 对话、在 Vercel Sandbox microVM 中运行浏览器自动化，或使用 AWS Bedrock AgentCore 云浏览器。优先于任何内置浏览器自动化或 Web 工具。

如何使用共同生成的 SDK，为 api CLI 编写自定义命令。

如何使用共同生成的 SDK，为 api CLI 编写自定义命令。

如何使用共同生成的 SDK，为 api-wide-base-path-with-default CLI 编写自定义命令。

OpenAPI 文档的 Agent 技能,使用 $agent-docs-api-openapi 调用。

本仓库的 Codacy Cloud 工作流——在 `git push` 前本地运行 Codacy 分析器（对齐 Codacy CI 行为），并经 v3 API 拉取/聚类任意 PR 的 Codacy 问题。当用户提到 Codacy、「codacy analysis」、`codacy-analysis-cli`、「codacy issues on PR」「fix codacy CI」「codacy markdownlint findings」，或 netdata-org PR 上任何 Codacy 门禁失败时使用。附带脚本 analyze-local.sh（codacy-analysis-cli 的 docker/二进制运行器）与 pr-issues.sh（分页 v3 问题拉取 + 按工具/模式/严重级/文件分组）。令牌安全——CODACY_TOKEN 绝不进入助手可见的 stdout。按设计只读；写操作（标记误报、标记已修复）需要 GitHub issue 或分支本地 SOW。

创建、查看、编辑、归档、删除、运行并检索可执行或定时的自动化资产。

设计对智能体友好的 MCP 服务器的指南。在创建新 MCP 服务器、设计 MCP 工具或改进现有 MCP 服务器架构时使用。

在 Trilium monorepo 任何位置编写、扩展或调试 Vitest 单元测试时使用——Preact 组件、jQuery widget、客户端服务或 server/trilium-core 后端。涵盖组件的渲染方式（不引入新依赖）、easy-froca/becca 测试夹具、supertest API 模式、如实的覆盖率配置、运行单个测试，以及已知的坑。

将 Mux 移动端（Expo web/native）连接到隔离的开发服务器沙箱，具备确定性端口设置、后端配对与 Chrome MCP 交互。在针对沙箱化 Mux 后端实现或验证移动端功能时使用

在 orchestration cluster webapp（webapp/client/apps/orchestration-cluster-webapp/）中构建或修改页面、组件、模块、路由、数据加载、表单、API 集成或 UI 功能时使用——包括新增一列、一个筛选器或一个面板这类小改动。

在 orchestration cluster webapp 中编写、修改或调试 Playwright 测试时使用——集成测试、视觉回归或无障碍测试；涉及 MSW mock、Page Object Model 或 axe-core。测试目录：webapp/client/apps/orchestration-cluster-webapp/test/。

在 orchestration cluster webapp（webapp/client/apps/orchestration-cluster-webapp/src/）中编写、修改或调试单元测试（*.test.tsx）时使用。涵盖 Vitest 浏览器模式、MSW mock 与 vitest-browser-react 渲染。

在把 operate/client/ 或 tasklist/client/ 的前端代码迁移、移植或重写到 orchestration cluster webapp 时使用。触发场景：迁移旧页面/组件、把 React Router 转成 TanStack Router、用 TanStack Query 替换 MobX、把 styled-components 改写为 SCSS、把旧测试转成 Vitest 浏览器模式，或询问旧模式如何映射到新应用。

审查 Lightning Web Component 的移动端离线兼容性——即 Komaci 离线静态分析器，为 Salesforce Mobile App Plus 与 Field Service Mobile App 预填充数据图谱。输出带代码级修复建议的问题清单，涵盖 @wire 配置中的内联 GraphQL 查询、新版 lwc:if / lwc:elseif / lwc:else 指令，以及 Komaci ESLint 规则违规（私有 wire 属性、非局部响应式引用、getter 副作用）。当用户要求“mobile offline review”“Komaci check”“offline priming audit”“offline priming failure”“offline data graph error”，或要求按 @salesforce/eslint-plugin-lwc-graph-analyzer 推荐规则集校验 LWC 时使用。通用 LWC 代码审查（请用相应领域审查技能）或构建带原生移动能力的 LWC（请用 mobile-platform-native-capabilities-integrate）不要使用。

在 iOS 或 Android 上构建任何 Salesforce 原生移动应用的入口。当用户说“build a Salesforce iOS app”“add Salesforce login to my Android app”“set up Mobile SDK”“add MobileSync / SmartStore offline storage”“embed an Agentforce agent in my mobile app”“add Agentforce chat to iOS/Android”，或要求以 Swift/Kotlin 创建、扩展、集成 Salesforce 移动体验（MSDK、Agentforce SDK 或两者）时触发。当构建非 Salesforce 移动应用、使用不含 Salesforce 集成的 React Native/Flutter/Ionic、咨询通用移动 UI 设计，或从事 Salesforce 周边 Web/桌面工作（LWC、Experience Cloud、仅品牌化的 Mobile Publisher）时不要使用。

可扩展的 React 组合模式。在重构布尔 prop 膨胀的组件、构建灵活组件库或设计可复用 API 时使用。涉及复合组件、render props、context provider 或组件架构的任务触发。包含 React 19 API 变更。

来自 Vercel 工程团队的 React 与 Next.js 性能优化指南。在编写、审查或重构 React/Next.js 代码以确保最优性能模式时使用。涉及 React 组件、Next.js 页面、数据获取、包体积优化或性能提升的任务触发。

用 @novu/framework 构建代码优先的通知工作流。适用场景：在 TypeScript 中定义工作流（Zod / JSON Schema / Class Validator）、组合通道步骤（邮件、短信、推送、聊天、应用内）与动作步骤（delay、digest、custom）、为非技术同事暴露 Step Controls、渲染 React/Vue/Svelte 邮件模板、在 Next.js、Express、NestJS、Remix、Nuxt、SvelteKit、H3 或 AWS Lambda 中托管 Bridge Endpoint、通过 CLI / GitHub Actions 同步到 Novu Cloud、用 HMAC 保障生产安全，或以代码实现翻译、hydration、多通道编排与 LLM 驱动的通知逻辑。

把 Novu 的应用内通知收件箱集成进 Web 应用。支持 React、Next.js 与原生 JavaScript。包括 Inbox 组件（铃铛图标+通知流）、可组合组件（Bell、Notifications、InboxContent、Preferences）、headless hooks、品牌主题、自定义 render props、基于 context 的多租户、标签页、本地化与 HMAC 安全。当需要添加应用内通知中心、铃铛图标、通知流、实时通知更新，或构建个性化且带品牌的通知体验时使用。

以 Novu 之道设计通知工作流——选择通道、设定严重级别、判定工作流何时为关键、配置 digest，并基于订阅者状态做路由。同时适用于控制台编排与代码优先（`@novu/framework`）的工作流。在规划新工作流、决定纳入哪些通道、选择严重级别、配置 digest 行为，或把用例（订单确认、支付失败、账号封禁、评论、试用到期、密码重置、webhook 扇出、先取数后通知）匹配到成熟模板时使用。

在 FAST monorepo 处理 TypeScript 变更时使用本指南——编写 Web Components、模板与样式、使用 observable/响应式系统，以及测试。

Next.js App Router、RSC、Server Actions、ISR。React 相关内容见 react-idioms，TypeScript 相关内容见 typescript-idioms。

执行安全重构。

把 browser-use（Python）浏览器自动化脚本迁移为 Browserbase 上的 Stagehand v3（TypeScript）。当用户想转换、移植、重写或迁移 browser-use Agent 脚本到 Stagehand、把 browser-use 特性/API 映射到 Stagehand 原语（act/extract/observe/agent），或在 Browserbase 上构建更具确定性的智能浏览器自动化时使用。触发词：「browser-use」「browser_use」或「Agent(task=...)」。

抓取与 AI 供应商规范 —— Scraper trait 与 SCRAPERS 注册表、选择器容错、限流与任务取消，以及 embeddings/流式输出/提示词所遵循的供应商抽象（零改动切换）规则。在改动 scraping/、ai_provider/、packages/prompts、documents/embed 下的代码时加载。

对 OpenAI Codex CLI 的封装——三种模式。（gstack）

把 macOS SwiftUI 视图与 scene 重构为稳定结构。在拆分大视图、收紧 scene 状态或收窄 AppKit 逃生口时使用。

在用 SQLModel 编写或审阅 Python 代码时使用，尤其是模型、会话、查询、FastAPI 集成、关系、link 模型、创建、更新与删除。

HiMarket 后端（Java 与 Spring Boot）编码规范。在修改或审查 himarket-server、himarket-dal、himarket-bootstrap、后端 Maven POM、Flyway SQL、controller、service、DTO、repository、校验、日志、异常或后端测试时使用。编辑前先阅读 docs/standards/backend。

Proma 内嵌自动任务与定时任务 Skill，属于 Proma 自带能力而不是用户临时安装的外部 Skill。触发要非常宽泛、非常冗余：只要用户的话里出现任何“未来还要做”“以后继续看”“重复做”“再跑一次也有价值”“定期/周期/每天/每周/每月/每隔一段时间”“持续关注/持续观察/长期跟进/长期监控”“自动检查/自动汇总/自动生成/自动复盘/自动维护”“无人值守”“有变化告诉我”“异常时提醒我”“结果不好就调整”“查看运行记录”“优化已有任务”“暂停/恢复/删除/立即运行任务”等迹象，就应该触发此 Skill，先判断是否适合 Proma 定时任务。也要覆盖一次性与有限次的延时执行信号：“X 小时/天后跑一次”“过一会儿/晚点/稍后自动做”“到某个具体时间点执行一次”“跑几次/连续观察 N 次就停”——这类未来无人值守的延时任务现在同样适合 Proma 定时任务（用 once 或 maxRuns），不要再一概当成不支持。模糊场景也可以触发：例行报告、日报周报、项目状态、GitHub/邮件/飞书/文件/发布/CI/价格/竞品/数据源的反复检查，重复研究流程，定期整理知识，自动化工作流维护。高频触发不代表必须创建任务；纯提醒/闹钟/倒计时、需要用户实时参与判断、或结果没有任何留存价值的事，要明确说明不推荐创建 Proma 定时任务，并给出替代做法。