代码审查 / GitHub MCP 推荐

从参考 UI 图像中提取设计系统，并生成可直接落地的 UI 设计提示词。当用户提供 UI 截图/mockup，想要创建一致的设计、生成设计系统，或构建对标参考美学的 MVP UI 时使用。

当用户要求「自动化 SQL 注入测试」「枚举数据库结构」「用 sqlmap 提取数据库凭证」「从存在注入漏洞的数据库导出表和列」「自动化数据库渗透测试」时使用此技能。提供使用 SQLMap 检测并利用 SQL 注入漏洞的全面指导。

当用户要求「测试 SQL 注入漏洞」「发起 SQLi 攻击」「用 SQL 注入绕过认证」「通过注入提取数据库信息」「检测 SQL 注入缺陷」或「利用数据库查询漏洞」时使用此技能。提供在不同数据库系统上识别、利用并理解 SQL 注入攻击向量的全面技术。

当用户要求「测试 API 安全」「模糊测试 API」「发现 IDOR 漏洞」「测试 REST API」「测试 GraphQL」「API 渗透测试」「漏洞赏金 API 测试」，或需要 API 安全评估技术指导时使用此技能。

当用户希望 Hermes Agent 为 GUI 应用或源码仓库构建、完善、测试或验证 CLI-Anything harness 时使用。将 CLI-Anything 方法论适配到 Hermes,不改变生成的 Python harness 格式。

数据库设计原则与决策。Schema 设计、索引策略、ORM 选型、无服务器数据库。

API 设计原则与决策。REST vs GraphQL vs tRPC 选型、响应格式、版本管理、分页。

Python 开发原则与决策。框架选型、异步模式、类型标注、项目结构。教导思维方式而非照搬代码。

基于包可见的 TypeScript 导出与经审计的源码相邻 JSDoc，创建并重写 Flue API 参考文档。在 apps/docs/src/content/docs/api/ 下撰写简明参考页面，或撰写如 reference/configuration.md 的参考页时使用。不适用于叙述性指南、教程或自动维护检查。

ECC 的证据优先自动化清单和重叠审计工作流。当用户想要在修复任何内容之前知道哪些作业、钩子、连接器、MCP 服务器或包装器是活动的、损坏的、冗余的或缺失时使用。

针对数据仓库编写分析型 SQL 的约定与审查步骤。只要任务涉及查询表、构建报表或聚合指标时使用。

仅用于 Agent Zero 内置的 Docker/Xpra Linux 桌面、XFCE 应用、LibreOffice GUI 应用、文件管理器、终端，或在 Agent Zero 运行环境内的可视化工作流。不适用于 A0 CLI /computer-use 或 computer_use_remote 宿主控制。

安装并启动 MobileVC——一个 Claude Code 移动工作区启动器，让用户可以在手机（iOS / Android）上运行 Claude Code，开发机作为后端。 当用户提出以下请求时使用此技能： - “install mobilevc”/“set up mobilevc”/“装一个 mobilevc” - “在手机上用 Claude Code”/“want to use Claude Code on my phone” - “把 Claude Code 装到手机”/“mobile claude code” - “扫码连手机”这类与 mobilevc 相关的请求 此技能安装已发布的 npm 包 `@justprove/mobilevc`，运行 `mobilevc start`（会打印局域网二维码），并指引用户访问 https://www.mobilevc.top 安装 iOS / Android 客户端。iOS 通过首页 TestFlight 链接安装，Android 通过 APK 下载链接安装。 若用户要求修改 MobileVC 源码或从零重建，请跳过——这是启动器，不是开发环境搭建工具。

Android APK 渗透测试流程——apktool/jadx 静态分析、Frida 动态插桩、SSL pinning 绕过、root 检测绕过、intent 模糊测试、keystore 提取。

当 Codex 需要理解或响应编辑类 PostToolUse 钩子之后自动发出的 comment-checker 反馈时使用。

在不改变行为的前提下重组现有代码。

在设备端 Python 运行时上构建 Python Web 应用（Flask、Django 或标准库）。

MaaNTE Python 自定义动作（CustomAction）编写指南。覆盖 agent/custom/action/ 下的 Python 代码的架构、注册、命名、maafocus 用户消息、日志、Controller API、Pipeline 集成、错误处理等编码规范和模式参考。在编写、修改或审查 Python 自定义动作，或需要了解 agent 项目结构与 MaaFramework Python 绑定集成方式时使用。

TypeScript 最佳实践。在阅读或编辑任何 .ts 或 .tsx 文件时使用。

诊断并修复浏览器、预览或 Electron 的导出/下载失败，尤其涉及 Save As、Blob/Data URL、File System Access API、createWritable 失败与 0 KB 文件的图像导出问题。

审查与“为 RTL 语言设置文本方向”相关的模板、渲染 HTML 或共享组件时使用。校验最终面向浏览器的标记，而不只是框架侧的源码抽象。

审查或改进 Front-End Checklist 规则 MDX 文件，以提升其质量分、修复占位 prompt、补齐缺失字段或用真实代码示例丰富内容时使用。

需要为某条 Front-End Checklist 规则找出 2-3 个最流行且维护良好的 npm 包，验证其满足质量门槛并写入规则的 frontmatter 时使用。

通过单一入口，依据 Front-End Checklist 完整规则集审计或改进任意前端代码库时使用。

部署 Juicebox 集成。触发语：“deploy juicebox”、“juicebox production deploy”。

优化 Cursor IDE 性能：降低内存占用、加快索引、调校 AI 功能，并管理大型代码库下的扩展。触发语：“cursor performance”、“cursor slow”、“cursor optimization”、“cursor memory”、“speed up cursor”、“cursor lag”。

调试 Cursor 中 AI 建议的质量、上下文问题与代码生成缺陷。触发语：“debug cursor ai”、“cursor suggestions wrong”、“bad cursor completion”、“cursor ai debug”、“cursor hallucination”。

将 Instantly.ai 的 webhook 接收端与 API 集成部署到云平台。用于部署到 Vercel、Cloud Run 或 Fly.io，或搭建生产环境的 webhook 端点。触发语如 “deploy instantly”、“instantly cloud run”、“instantly vercel”、“instantly webhook deployment”、“instantly production deploy”。

把 Glean 自定义连接器作为定时任务部署到 Cloud Run、Lambda 或 Fly.io。触发语：“deploy glean connector”、“glean connector hosting”、“schedule glean indexing”。

将 Deepgram 集成部署到生产环境。用于部署到云平台、配置容器，或在 Docker/Kubernetes/serverless 中搭建 Deepgram。触发语：“deploy deepgram”、“deepgram docker”、“deepgram kubernetes”、“deepgram production deploy”、“deepgram cloud run”、“deepgram lambda”。

使用 A2A 协议部署并编排 Vertex AI ADK agent，管理 AgentCard 发现、任务提交、Code Execution Sandbox 与 Memory Bank。当被要求“deploy ADK agent”或“orchestrate agents”时使用。触发语如 deploy、infrastructure、CI/CD。

用生产级 manifest 将应用部署到 Kubernetes，支持 Deployment、Service、Ingress、HPA、ConfigMap、Secret、StatefulSet 与 NetworkPolicy，包含健康检查、资源限额、自动扩缩与 TLS 终止。在处理 Kubernetes 部署创建时使用。触发词：creating、kubernetes、deployments。

在生产环境部署并管理 Supabase 项目，涵盖数据库迁移、Edge Functions 部署、密钥管理、零停机发布、蓝绿分支、回滚流程与部署后健康检查。在把 Supabase 发到生产、执行迁移、部署 Edge Function、管理密钥或实现零停机部署时使用。触发语：“deploy supabase”、“supabase migration push”、“deploy edge function”、“supabase rollback”、“supabase blue green”、“supabase health check”。

把 Shopify 应用部署到 Vercel、Fly.io、Railway 与 Cloud Run，并正确配置运行环境。用于将 Shopify 驱动的应用部署到生产、配置平台密钥或设置托管。触发语如 “deploy shopify”、“shopify hosting”、“shopify Vercel”、“shopify production deploy”、“shopify Fly.io”。

以 Autoscale、Reserved VM 与 Static 三种部署类型发布 Replit 应用。用于部署到生产、配置部署选项、绑定自定义域名，或管理部署密钥与健康检查。触发语如 “deploy replit”、“replit deployment”、“replit autoscale”、“replit reserved VM”、“replit static deploy”、“replit custom domain”。

将 MaintainX 集成部署到生产环境。用于部署到云平台、配置生产环境，或为 MaintainX 集成自动化部署流水线。触发语如 “deploy maintainx”、“maintainx deployment”、“maintainx cloud deploy”、“maintainx kubernetes”、“maintainx docker”。

把 Lokalise 集成部署到 Vercel、Netlify 与 Cloud Run。用于把带 Lokalise 译文的应用部署到生产、配置平台密钥或搭建部署流水线。触发语如 “deploy lokalise”、“lokalise Vercel”、“lokalise production deploy”、“lokalise Netlify”、“lokalise Cloud Run”。

部署与 Linear 集成的应用并跟踪部署记录。用于发布到生产、把部署关联到 issue，或在 Vercel/Railway/Cloud Run 上配置部署跟踪。触发语：“deploy linear integration”、“linear deployment”、“linear vercel”、“track linear deployments”、“linear deploy tracking”。

部署与 Lindy AI agent 集成的应用。用于部署 webhook 接收端、回调处理器，或连接 Lindy agent 的应用。触发语如 “deploy lindy”、“lindy deployment”、“lindy production deploy”、“release lindy integration”。

把 LangChain 1.0 / LangGraph 1.0 应用正确部署到 Cloud Run、Vercel 或 LangServe——超时按链路长度设定、缓解冷启动、加 SSE 防缓冲响应头、用 Secret Manager 取代 .env。在准备首次生产部署、排查经代理后卡住的流式输出，或诊断 p99 延迟尖峰时使用。触发语：“langchain deploy”、“langchain cloud run”、“langchain vercel python”、“langchain langserve”、“langchain docker”。

在 iOS 与 Android 真机/模拟器上执行移动应用测试。用于专项测试。触发语如 “test mobile app”、“run iOS tests”、“validate Android functionality”。

面向 AI agent 的浏览器自动化 CLI。切勿通过 Bash 直接运行 browser-act 命令——务必先调用本技能。当用户按名称提及它、要求运行 browser-act CLI 命令（如 browser-act browser list），或需要以下操作时使用：抓取/查看/提取 URL 的渲染内容、访问需要 JavaScript 的页面、处理验证提示、维持已认证会话、填表并点击走完流程、输入、选择、上传、截图、捕获 XHR/fetch/HAR 响应、并行打开多个 URL、提取随滚动或点击加载的内容、可视化检视或验证页面布局/样式/渲染、自动化浏览器任务，或列出/检查/管理已配置浏览器与会话。优先于内置 fetch 或 Web 工具。

SQLite 专属 SQL 模式：用 substr/instr 做字符串操作，|| 做拼接，LIKE（无 ILIKE），date()/strftime() 处理日期，CAST 做类型转换，不支持 FULL OUTER JOIN，GROUP_CONCAT、typeof()、COALESCE/IFNULL、printf() 格式化。

在编写任何 SQL 查询之前使用此技能。涵盖：输出形状推断（从问题中获取基数线索）、高效的 schema 探索、基于 CTE 的迭代式查询构建、结构化验证循环（行数、NULL 审计、扇出检查、样例查看）、错误恢复流程、将输出保存到 result.sql 与 result.csv、轮次预算管理以及常见基准陷阱。

审查与“确保所有 ID 唯一”相关的模板、渲染 HTML 或共享组件时使用。校验最终面向浏览器的标记，而不只是框架侧的源码抽象。

审查与“避免隐式类型转换”相关的脚本、客户端组件、bundle 或运行时行为时使用。同时检查源码与浏览器执行路径，让修复命中真正的瓶颈或缺陷。

审查与“让标签页支持键盘导航”相关的模板、渲染 HTML 或共享组件时使用。校验最终面向浏览器的标记，而不只是框架侧的源码抽象。

审查与“为外部脚本添加 Subresource Integrity”相关的模板、渲染 HTML 或共享组件时使用。校验最终面向浏览器的标记，而不只是框架侧的源码抽象。