代码审查 / GitHub MCP 推荐

设计并构建有原生感的 macOS 应用 UI。当用户要做桌面应用、macOS 应用、Mac 风格界面、Apple 风格 UI、系统工具，或任何应像原生 Mac 应用的东西时使用。用户提到「原生感」「桌面应用设计」「Apple 设计模式」「侧边栏布局」「红绿灯按钮」，或想构建看起来属于 macOS 的工具/实用程序时也触发。本技能涵盖布局、组合、交互模式、动画、亮/暗色模式，以及让应用显得出自 Apple 之手的所有细节。

在 PixiJS v8 画布上叠加 HTML 元素时使用。覆盖 DOMContainer 的 element、anchor 与场景图驱动的 CSS transform、pixi.js/dom 副作用导入、DOMPipe 注册、可见性同步以及 pointer-events 处理。触发词：DOMContainer、pixi.js/dom、DOMPipe、HTML overlay、input on canvas、iframe overlay、DOMContainerOptions、element、anchor、constructor options。

在 PixiJS v8 中创建、转换或操作颜色时使用。覆盖 Color 类的输入格式（hex、CSS 颜色名、RGB/HSL 对象、数组、Uint8Array）、转换方法（toHex、toNumber、toArray、toRgba）、分量访问、setAlpha/multiply/premultiply 以及 Color.shared 单例。触发词：Color、ColorSource、hex、rgb、hsl、tint、premultiply、Color.shared、color conversion。

在为 PixiJS v8 应用添加屏幕阅读器与键盘导航时使用。覆盖 AccessibilitySystem 选项（enabledByDefault、debug、activateOnTab、deactivateOnMouseMove）、按容器的无障碍属性、shadow DOM 覆盖层、移动端触控钩子激活。触发词：accessibility、a11y、screen reader、ARIA、keyboard navigation、tab order、AccessibilitySystem、accessibleTitle、accessibleHint、tabIndex、accessibleChildren。

在处理 MobileClaw 的手机到桌面 Codex 桥接时使用，包括桥接设置、Tailscale 访问、由 MobileClaw 发起的任务以及安全的桌面配置。

基于 CDP 的本地 OpenWork Electron 浏览器自动化。适用于驱动本地 Electron 开发应用、browser_list、browser_snapshot、browser_eval、composer 自动化或本地 UI 冒烟测试。

在把 TypeScript 代码片段保存为技能之前先进行测试。

在完成功能、修复缺陷、提交 React 代码前，或用户输入 `/doctor`、要求扫描、分诊或清理 React 诊断问题时使用。覆盖 lint、无障碍、bundle 体积与架构，包含回归检查以及会拉取官方 playbook 的完整本地分诊工作流。

只要在编写、评审或重构任何 CSS 就应使用本技能，无论是纯 .css 文件、styled-components、CSS Modules、Tailwind 任意值、React/Vue/Svelte 中的内联样式或其他任何前端场景。它确保在浏览器支持范围内尽量使用现代 CSS 特性 —— 例如 clamp()、:has()、容器查询、OKLCH 颜色、滚动驱动动画、锚点定位、@starting-style、light-dark()、text-wrap: balance 等。任何触及 CSS 的场合（哪怕是间接场景，例如需要自适应尺寸、主题系统、动画或布局）都应触发。当项目浏览器目标已支持原生现代 CSS 特性时，不要退回 px 媒体查询、JS 驱动动画或 CSS-in-JS 变通方案等旧模式。

SQL 注入——对未消毒 SQL 查询的自动化与手工利用。涵盖 Union 型、报错型、盲注（布尔/时间型）与堆叠查询。包含 sqlmap 自动化及 WAF 绕过 tamper 脚本。

通过源码级污点追踪挖掘 SQL 注入（CWE-89）。涵盖字符串拼接、格式化字符串、ORM 原生查询、二阶注入，以及 MongoDB/DynamoDB 的 NoSQL 注入。

对存在多个分发点的可辨识联合使用 frozen-class/visitor 模式。适用于：新建一组将在 2 处以上被 switch 的变体（命令、IR 节点、工厂调用），或重构已出现多个 switch 站点的现有联合类型。

构建前置示例应用并运行 `src/python_testing/` 下基于 Python 的集成测试与认证测试的指南和说明。在开发期间运行重要回归测试、构建新示例应用，或需要执行 Python 测试脚本/“认证测试脚本”，或提及 run_python_test.py 与 local.py 时使用本技能。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

增量刷新 docs/generated/design/ 下由 LLM 生成的设计文档。当源码变更后用户要求更新、刷新或重新生成生成的设计文档时使用。按 docs/generated/design/_meta/regenerate.md 定义的三阶段操作循环执行——(1) Claude 重新生成过期文档，(2) 指引用户运行非 Claude 评审，(3) Claude 应用整改——阶段 1 与 3 前均需显式确认。

修复 Next.js 应用的 SEO 索引问题、抓取配额（crawl budget）问题与 Search Console 覆盖率错误。涵盖 canonical 标签、noindex 审计、sitemap 健康检查、静态渲染与内部链接。

面向 iOS 和 Android 应用的移动优先设计思维与决策。触控交互、性能模式、平台规范。教导原则而非固定数值。在构建 React Native、Flutter 或原生移动应用时使用。

MCP（Model Context Protocol）服务器构建原则。工具设计、资源模式、最佳实践。

测试模式与原则。单元测试、集成测试、模拟策略。

Kubernetes 调试方法论与脚本。用于 Pod 崩溃、CrashLoopBackOff、OOMKilled、部署问题、资源不足或容器故障。

将现有网站与应用升级到高端品质。审查当前设计，识别 AI 生成的通用套路，在不破坏功能的前提下套用高端设计标准。兼容任意 CSS 框架或原生 CSS。

精英级前端图像指导技能，用于生成高端、注重转化的网站设计参考。关键输出规则——每个区块单独生成一张横版图像。8 个区块的落地页产出 8 张图。绝不将多个区块压缩进一张图。强制构图多样性（不总是左文右图）、背景图像自由、多样 CTA、多样 hero 尺度（巨型/中等/迷你极简）、叙事概念主线、二刷亮点，以及所有图像统一的一套色板。为落地页、营销站与可供开发者或编码模型精确复刻的产品 comps 优化。

精英级移动应用图像生成技能，创建高端、应用原生的界面概念与流程。面向 iOS、Android 与跨平台移动产品。强调清晰层级、舒适可读的文字、多屏强一致性、克制的配色、非套路化的创意方向、质感表面、图像主导构图、有品位的手绘图标与干净的 phones 边框样机。默认将界面置于带可见边框的精致 iPhone 或类似手机样机中展示，焦点仍留在应用内容本身。此技能仅生成图像，不写代码。

高级品牌套件图像生成技能，用于制作高端品牌指南板、Logo 系统、识别度演示与视觉世界呈现。面向极简、电影感、编辑风格、暗色科技、奢华、文化、安全、游戏、开发者工具与消费级应用的品牌系统训练。针对有意图的 Logo 概念化、精致构图、克制的排版、强符号语义、高端样机、艺术指导图像与灵活网格布局优化。

精英级 UX/UI 与高级 GSAP 动效工程师。强制执行基于 Python 的真随机布局变化、严格的 AIDA 页面结构、宽幅编辑风格排版（禁止 6 行折行）、无缝隙 bento 网格、严格的 GSAP ScrollTrigger（钉住、堆叠、scrub 跟随）、内联微图与超大区块间距。

面向落地页、作品集与重设计的反模板化（anti-slop）前端技能。代理读取需求、推断正确的设计方向，交付看起来不像模板的界面。适用时使用真实设计系统，重设计先做审查，并执行严格的发布前检查。

最初的 v1 taste-skill，为依赖其确切行为的项目保留。当前默认版本是 `design-taste-frontend`（v2 实验版），是一次大幅重写。仅在需要完全向后兼容时使用此 v1 安装名。

kubernetes-architect 工作流技能。当用户需要专注于云原生基础设施、高级 GitOps 工作流（ArgoCD/Flux）与企业级容器编排的资深 Kubernetes 架构能力时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

kubernetes-architect 工作流技能。当用户需要专注于云原生基础设施、高级 GitOps 工作流（ArgoCD/Flux）与企业级容器编排的资深 Kubernetes 架构能力时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

kubernetes-architect 工作流技能。当用户需要专注于云原生基础设施、高级 GitOps 工作流（ArgoCD/Flux）与企业级容器编排的资深 Kubernetes 架构能力时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

kubernetes-architect 工作流技能。当用户需要专注于云原生基础设施、高级 GitOps 工作流（ArgoCD/Flux）与企业级容器编排的资深 Kubernetes 架构能力时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

Kubernetes 部署工作流技能。当用户需要面向容器编排、Helm 图表、服务网格以及生产就绪 K8s 配置的部署流程时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

Kubernetes 部署工作流技能。当用户需要面向容器编排、Helm 图表、服务网格以及生产就绪 K8s 配置的部署流程时使用；同时操作者应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

Cursor Subagent Creator 工作流技能。当用户需要为 Cursor 编辑器创建上下文隔离的 AI 子智能体、以完成复杂多步工作流时使用，遵循 Cursor 自身的模式与目录约定（.cursor/agents/）。触发词："cursor subagent"、"cursor agent"。不用于 Cursor 之外的通用子智能体创建（请改用 subagent-creator）；操作时应完整保留上游工作流、随附的支持文件与来源信息，再进行合并或交接。

将最接近当前源码选区或光标的 JSDoc 示例抽取到 ./scratchpad 下的一个 TypeScript 文件中。当用户要求在 scratchpad 中导出、复制、打开或试用某段源码示例时使用。

用 x402 配置 Browser Use Cloud 支付——用加密钱包按请求付费（Base 主网 USDC），无需注册或 API key。提供两种起步方式："自己用"（配置钱包，让你或 Claude Code 用钱包支付跑云端浏览器任务——Claude 写临时脚本并运行，不改动你的代码库）或"集成进产品"（安装 SDK 并把 key 与代码写入工程）。会引导钱包设置、充值、.env 配置以及约 1 美元的试跑。当用户询问 x402、按量付费、USDC 支付，或想不用 API key 使用 Browser Use Cloud 时使用。免费额度注册（反向验证码换 API key）请用 browser-use cloud signup 或 cloud skill。

指导 FigUI3 组件的 CSS 与布局测试。在校验组件 CSS、嵌套选择器、设计令牌、交互状态、计算样式、布局盒或视觉回归时使用。

自动化与监控：在企业并购/M&A 场景下，为数据空间新增文件、Q&A 状态、交割截止日、登记处更新、MAR 信号与 PMI 事项设计监控方案。适用规范：MAR 第 17 条、德国《反限制竞争法》（GWB）第 41 条（禁止提前实施）、《对外经济法》（AWV）第 56 条。

React 模式：解构 props、编译器优化、Effects 与 Tailwind v4 语法。使用 React 时务必启用。

审查 diff 中可被租户、相邻控制器或恶意 workload spec 利用的安全问题——输入校验、注入、DoS、nil 安全、鉴权、信息泄露、供应链、webhook 安全。

使用 AWS Athena 查询 CloudTrail、VPC Flow Logs、S3 访问日志与 ALB 日志做取证调查。涵盖带分区投影的 CREATE TABLE DDL，以及检测未授权访问、数据外泄、横向移动与提权的取证 SQL。适用于调查 AWS 安全事件或构建大规模云原生取证工作流。

解析 Apache 与 Nginx 访问日志，检测 SQL 注入尝试、本地文件包含、目录穿越、Web 扫描器指纹与暴力破解模式。使用基于 OWASP 攻击特征的正则匹配、GeoIP 溯源信息补全，以及对请求频率与响应大小异常值的统计异常检测。

检测并利用二阶 SQL 注入漏洞：恶意输入先被存入数据库，之后在另一次应用操作中被不安全的 SQL 查询执行。

在获授权的渗透测试中，使用 sqlmap 检测并利用 SQL 注入漏洞以提取数据库内容。

在获授权的渗透测试中，用手工技术与 sqlmap 等自动化工具识别并利用 Web 应用的 SQL 注入漏洞。测试者通过报错注入、UNION 注入、布尔盲注与时间盲注，在主流数据库引擎（MySQL、PostgreSQL、MSSQL、Oracle）上检测注入点，演示数据提取、认证绕过与潜在的远程代码执行。对涉及 SQL 注入测试、SQLi 利用、数据库安全评估或注入漏洞验证的请求自动激活。

分析 WAF（ModSecurity/AWS WAF/Cloudflare）日志以检测 SQL 注入攻击活动。解析 ModSecurity 审计日志与 JSON 格式的 WAF 事件日志，识别 SQLi 模式（UNION SELECT、OR 1=1、SLEEP()、BENCHMARK()），跟踪攻击来源、关联多阶段注入尝试，并基于 OWASP 分类生成事件报告。

对 iOS 应用做全面安全评估：Frida 动态插桩、Objection 运行时探查、SSL pinning 绕过以拦截流量、keychain 提取做凭据分析，以及 IPA 静态分析做二进制级审查。适用于获授权的 iOS 渗透测试、对照 OWASP MASTG 评估移动应用安全态势，或评估 iOS 应用的数据保护与传输安全控制。对涉及 iOS 应用渗透测试、基于 Frida 的 iOS 插桩、移动应用 SSL pinning 绕过或 IPA 逆向的请求自动激活。