代码审查 / GitHub MCP 推荐

当需要检查、查询、维护或谨慎修改 MoviePilot 数据库时使用本技能。本技能使用随包提供的 scripts/mp-db.py 助手，它会自行读取 MoviePilot 本地设置，绝不需要在 agent 提示中提供数据库密码或完整 PostgreSQL DSN。适用场景包括数据统计、计数、聚合、检查或修复记录、清理请求，以及诸如“有多少下载”“显示站点统计”“删除旧记录”“这个订阅为什么卡住”之类的问题。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

React/TypeScript 前端开发规则，涵盖类型安全、组件设计、状态管理与错误处理。在实现 React 组件、TypeScript 代码或前端功能时使用。

对网站或 Web 应用做 QA 测试并给出 1-5 分的质量评分（5 分为几近完美，1 分为已崩溃）并附证据。当用户想测试、QA、评估、打分或“看看这个站怎么样”某个站点、页面、流程或应用时使用，包括本地开发服务器（如“qa test localhost:5173”“checkout 能跑通吗”“给落地页打个分”）。驱动真实的 Browser Use 云端浏览器，并自动穿透本地 localhost。

收集创建或更新 bigbud 自动化所需的细节信息，并输出机器可读的 automation request block。

跨域名、社交媒体、移动应用与暗网渠道监测品牌仿冒攻击，检测针对组织的钓鱼活动、仿冒站点与未授权品牌使用。

通过行为分析、权限滥用检测、网络流量监控与动态插桩，检测并分析移动应用中的恶意行为。适用于分析可疑移动应用的数据外泄、C2 通信、凭据窃取、短信拦截或其他恶意软件迹象。对涉及移动恶意软件分析、应用行为监控、木马检测或可疑应用调查的请求自动激活。

审计 Kubernetes 集群 RBAC 配置，用 kubectl、rbac-tool、KubiScan 与 Kubeaudit 识别权限过大的角色、通配符权限、危险的 ClusterRoleBinding、service account 滥用与提权路径。

在文件系统中部署金丝雀文件（蜜标）以实时检测勒索软件的加密活动。通过文件完整性监控或操作系统级看门狗监视精心放置的诱饵文档，在勒索软件修改或加密时触发告警。适用于涉及勒索软件金丝雀部署、蜜罐文件设置、基于欺骗的勒索软件检测，或加密的文件完整性监控等请求。

借助 Python 的 watchdog 库做实时文件系统事件检测，在关键目录中部署并监控勒索软件诱饵（canary）文件。放置按精心命名、模仿高价值目标（财务记录、凭据、数据库导出）的诱饵文件，位置选在勒索软件通常会优先枚举的目录。一旦监控到对诱饵文件的读取、修改、重命名或删除操作，就通过邮件、Slack webhook 或 syslog 立即告警，在全面加密开始之前给出早期预警。

测试并验证勒索软件恢复流程，包括备份还原操作、RTO/RPO 目标核验、恢复顺序编排与干净还原校验，确保组织具备抵御破坏性勒索攻击的能力。

添加或修改 Visdom Python client 方法，并正确同步 server/frontend 行为与类型标注更新。

编写新的 MSTest 3.x/4.x 单元测试、并在既有 MSTest 代码中实施具体修复的最佳实践。当用户要求编写、创建、实现、修复或现代化测试（包括“看起来有问题、修复一下”这类指令）时使用。是修改代码的首选方案，例如纠正 Assert.AreEqual 参数顺序颠倒、替换过时的断言模式、把 DynamicData 从 IEnumerable<object[]> 改为基于 ValueTuple 的数据集。涵盖现代断言、数据驱动测试、测试生命周期、MSTest.Sdk、sealed 类、Assert.Throws、配合 ValueTuple 的 DynamicData、TestContext 与条件执行。不要用于宽泛的测试质量审计、不稳定测试（flaky）排查或测试异味检测报告——那些请改用 test-anti-patterns。

为学生或初级工程师从 GitHub 上寻找合适的传统软件后端或业务级 AI 智能体项目，评估简历价值并生成 Markdown 简历撰写包。当用户请求选择后端项目、Java/Spring 项目、分布式系统项目、完整 AI 智能体业务项目、多智能体系统、LLM 应用、用于简历的 GitHub 项目，或想把所选项目转化为简历要点/面试谈资时使用。支持模式：仅 agent、仅后端、混合、稳妥模式、挑战模式；未指定模式时先询问用户再搜索或推荐。后端推荐默认排除 IoT、嵌入式、硬件集成、设备管理与工控平台，除非用户点名。同时避免简单浏览器扩展、薄封装 LLM 套壳、浅层 AI 插件与浏览器自动化库，除非用户点名。

将 Fable 式纪律应用于 Codex 工作：先检查、跟踪目标与发现、以证据支撑结论、完成前验证，并借鉴 Claude/Fable 的提示规范，不做身份或供应商声明。

Docker容器化技能，生成Docker配置文件

设计深层模块的共享词汇。当用户想要设计或改进模块接口、寻找深化机会、决定接缝位置、让代码更易测试或更易被 AI 理解，或其他技能需要深层模块词汇时使用。

关于写好、改好技能（skill）的参考——让技能行为可预测的词汇与原则。

MultiTable 的 Cursor provider 权威开发参考，其核心是以无头 `--print --output-format stream-json` 模式驱动的 Cursor CLI（`cursor-agent`）。当用户提到 Cursor、cursor-agent、Cursor 适配器、CursorAdapter、stream-json / NDJSON 事件、`--resume` / `--continue`、`--mode plan|ask`、`--force` / `--yolo`、`--sandbox`、composer-2.5、`cursor-agent models`、`~/.cursor`、agent-transcripts、用量限额/速率限制（以及为何对 Cursor 不适用；cursor.com 计费走带外通道），或改动 `packages/daemon/src/agent/providers/cursor.ts`、`packages/daemon/src/agent/providers/cursor-cli/`、`packages/daemon/src/transcripts/cursorParser.ts` 时触发。

将前端设计任务路由到 48 种具体的 UI 风格。当网站、App 界面或 UI 组件有特定美学要求时触发。

通过 Trello REST API 管理 Trello 看板、列表和卡片。

通过本地报告 API，以证据驱动的判断和隔离的 Worktrunk worktree 对 MCP 归因（attribution）问题进行分诊、修复与关闭。当 Codex 需要处理 `tool` 归因问题和技能相关归因问题、检查相关运行记录、判定问题应在 `mcp/src` 还是 `config/source/skills` 中修复、将归因字段更新为 `owner=codex`，并在问题可修复时通过 GitHub issue 跟踪、基于 worktree 的代码修改、PR 提交及后续迭代完成修复闭环时使用。

在已连接的 Otto 节点（Mac 应用、iOS、Android）上显示、呈现并渲染 HTML 内容。在设备上展示、移动端预览、推送到屏幕，或在任意已连接节点上导航到某个 URL。用于游戏、可视化、仪表盘、交互演示与实时刷新的开发预览。支持呈现、隐藏、导航、执行 JavaScript，以及在 Mac、iOS、Android 设备间捕获画布内容截图。

为页面、组件、视觉界面、字体排印与基于截图的打磨，产出具辨识度、生产级的 UI。当用户以任何语言提出 UI、页面、组件、前端、字体排印、基于截图的视觉打磨需求，或抱怨界面看不清、丑、不一致、视觉上不对劲时使用。不适用于后端逻辑或数据管道。

面向 AI Agent 的浏览器自动化 CLI。当用户需要与网站交互时使用，包括打开页面、填写表单、点击按钮、截图、抽取数据、测试 Web 应用或自动化任意浏览器任务。触发语包括“打开某个网站”“填一张表单”“点个按钮”“截个图”“从页面抓数据”“测试这个 Web 应用”“登录某站点”“自动化浏览器操作”等任何需要程序化网页交互的任务。

用于 1flowbase 在 api/ 下的后端实现：构建、修复、重构或评审 Rust/Axum API、路由、服务、仓储、存储适配器、迁移、领域模型、状态流转、写路径、模块边界、权限、HostExtension/RuntimeExtension 边界或核心业务逻辑。在完成 problem-framing 对齐非平凡需求后使用，或当用户明确要求直接实现时使用；不用于独立的需求对齐、测试设计或 QA 报告。

通过分析代码库、生成 render.yaml Blueprint 并提供 Dashboard 深链接，将应用部署到 Render。当用户想在 Render 云平台部署、托管、发布或搭建应用时使用。

为 InsForge 的 backend 包贡献代码时使用本技能。面向在 InsForge monorepo 中编辑后端路由、服务、provider、认证、数据库逻辑（包括 storage 与 realtime 等 RLS 强制面）、调度或后端测试的维护者。

执行安全重构。触发词：“refactor”“execute safe refactors.”“refactor skill”。

Atomic CRM 的后端开发编码实践。用于判断是否需要后端逻辑，或创建/修改数据库迁移、视图、触发器、RLS 策略、edge function，以及调用 Supabase API 的自定义 dataProvider 方法。

在部署阶段根据会话分支 diff 生成 Supabase SQL 迁移。仅由 simple-developer 在部署时的迁移环节使用。

Agent Framework Python 代码库的代码质量检查、lint、格式化与类型检查命令。在运行检查、修复 lint 错误或排查 CI 失败时使用。

对照已知威胁数据库，快速检查配置安全性。

使用 AWS CLI 部署带自定义域名、Lambda 后端函数和基于请求的 Lambda 授权器的 Regional REST API。涵盖 ACM 证书签发、API Gateway REST API 创建、Lambda 函数部署、请求授权器配置、自定义域名设置、base path 映射与 Route 53 DNS 记录创建。触发关键词：custom domain、REST API、Lambda、Route 53、API Gateway、regional endpoint、request authorizer、base path mapping

Highcharts API 参考文档 doclet 的语气指南——涵盖面向公众的 TS doclet 的句式结构、词汇与措辞模式。

CodexBar 只读：provider 用量、限额、额度、配置健康。JSON 输出。不做任何写入。

用结构化的 5 天流程制作原型、测试并与真实用户一起验证产品想法。当用户提到 “design sprint”、“validate in a week”、“rapid prototype”、“test with users”、“de-risk before building”、“GV sprint”、“prototype testing” 或 “design workshop” 时使用。也可在团队需要快速做出关键产品决策、化解各方分歧，或在投入开发前先验证高风险想法时触发。覆盖梳理、草图、决策、原型与测试。持续实验见 lean-startup，用户任务分析见 jobs-to-be-done。

应用基础设计原则：可供性、示能符、约束、反馈与概念模型。当用户提到“为什么这么让人困惑”“affordance”“error prevention”“discoverability”“human-centered design”“fault tolerance”“mental model”“mapping”或“seven stages of action”时使用。也可在诊断用户为何出错、降低产品复杂度、改进错误提示与反馈系统时触发。覆盖执行鸿沟与评估鸿沟。可用性评分见 ux-heuristics，iOS 专项模式见 ios-hig-design。

审计并修复 Web UI 的视觉层级、间距、配色与层次感。当用户说“我的 UI 看着不对劲”“修一下设计”“Tailwind 样式”“配色方案”“视觉层级”“设计系统”“间距刻度”“组件样式”时使用。也可在构建一致的设计 token、编写深色主题、提升数据可视化清晰度，或上线前打磨 UI 细节时触发。覆盖 grayscale-first 工作流、受约束的设计刻度、阴影与组件样式。字体选择见 web-typography，可用性审计见 ux-heuristics。

按 Apple Human Interface Guidelines 设计原生 iOS 界面。当用户提到 “iPhone app”、“iPad layout”、“SwiftUI”、“UIKit”、“Dynamic Island”、“safe areas”、“HIG compliance”、“SF Symbols”、“haptic feedback” 或 “iOS accessibility” 时使用。也在为 iOS 构建 tab bar、导航栈、sheet 或 modal、实现深色模式、适配不同屏幕尺寸时触发。覆盖导航模式、无障碍、SF Symbols 与平台惯例。通用 UI 打磨见 refactoring-ui，可供性设计见 design-everyday-things。

安全地测试并部署变更。发现部署目标，在上线前执行失败即止的门禁检查，可选地执行影子部署与切换，然后运行仅报告模式的部署后检查。这是一个模板——请按你的具体部署流水线定制命令和检查项。

只要在 Actual Budget 仓库中创建、更新、编辑、撰写、重组或修复文档——具体指 `packages/docs/` 下的任何内容（发布在 actualbudget.org/docs 的 Docusaurus 站点），或该包内任何 .md 与 .mdx 文件的改动——都使用本技能。触发请求如为 X 新增一个文档页、更新 FAQ、为新特性写指南、给这个设置写文档、修一下关于 Y 的文档、新增贡献指南页面，或任何文档站点相关工作，即便用户没有明确提到风格、结构或约定也要触发。Actual 的文档遵循严格的 Docusaurus 约定（front matter、标题层级、图片放置与命名、提示块语法、Title Case、语气、拼写白名单），不查阅项目风格指南就动笔，写出的内容几乎必然过不了评审并需要返工。

使用 Foundry 在 Base 链上部署并验证智能合约——通过 CDP 获取测试网 faucet、加密 keystore 管理、BaseScan 合约验证和常见故障排查。

在 Versa——Base 链上的对抗性 AI 竞技场——部署、管理或提取 AI 智能体金库。当智能体想部署自己的金库、通过挑战费被动赚取 ETH、设置防守提示词、守护国库、查看收益、提取费用、关闭金库或参加竞技场比赛时使用。触发语：在 versa 上部署、创建金库、被动赚 ETH、配置我的智能体、启动我的金库、我要打防守、versa 是怎么玩的、查看我的收益、提取我的费用、我赚了多少、守护某个国库。

基于 Foundry 的智能合约测试——单元测试、模糊测试、针对真实链上状态的 fork 测试和不变量测试。讲清该测什么、可跳过什么，以及 LLM 常犯的错误。

用于复杂的 Agent Zero 浏览器自动化，包括多标签浏览、截图、表单、上传、原始指针/键盘操作、宿主与容器的浏览器模式，以及可视化验证工作流。

重构顾问 - 识别代码坏味道并提供重构方案

在使用 Docker Compose 部署 SuperCheck、配置自托管部署、排查 Docker 服务、扩展 worker、设置 HTTPS/TLS、管理环境变量、升级版本，或处理 deploy/docker/ 下任何文件时使用。涵盖所有 Docker Compose 变体（标准、安全、外部、远程 worker、本地开发）、K3s/gVisor 沙箱配置、安全加固与运维手册。