代码审查 / GitHub MCP 推荐

子代理路由表——诊断、机器健康、基础设施、GitHub、计费与通知分别由哪个 Agent 处理。当当前任务不是直接部署时加载

构建并部署 Python 应用——uv、poetry、pdm、pipenv、pip、框架检测与 Dockerfile 模式。在部署 Python 项目时，或检测到 requirements.txt、pyproject.toml、Pipfile 时使用

使用 electron-test MCP 服务器对 Podman Desktop UI 进行交互式测试。支持生产模式（已安装应用）和开发模式（pnpm watch）。适用于手动测试 UI 工作流、排查 UI 问题、探索功能或快速验收测试。

为双向 MCP 通信配置 WebSocket 传输，包括连接管理与重连处理

为基于 Web 的 MCP 服务器配置 HTTP/SSE 传输，包括正确的端点、认证与 CORS

为 MCP 工具输入参数生成 JSON Schema 定义。创建文档完善、便于 AI 消费的 Schema，带合理的类型、描述与校验规则

设计并实现 MCP 资源 URI 方案与模板，具备合理的命名、层级与文档

支持 Node.js 与浏览器的 TypeScript SDK 开发。设计 SDK 架构、实现类型安全的 API 客户端、支持 ESM 与 CommonJS 模块，并为浏览器配置打包

将应用部署到目标环境。在部署代码、发布或推送到 staging/production 时使用。需用户显式调用

为 book、resources、ui、user-guide 和 cloud 项目撰写与更新 Medusa 文档 MDX 文件。适用于基于代码 diff 修改文档、新增页面、更新既有内容或更新组件示例。修改 www/apps/ 下任何 MDX 文件前务必先加载本技能。

结构化的 `.pdf` 操作：提取文本/表格、从多个 PDF 合并页面、按页码范围拆分 PDF、填写 PDF 表单字段，以及从 JSON 生成全新 PDF。当用户想要程序化处理 PDF 而无需自然语言改写时触发——示例：从报告中拉取表格、合并三个 PDF、提取第 5-12 页、填写报税表，或基于数据构建新 PDF。与 `nano-pdf` 不同：后者由 LLM 按一句话改写整页；本技能是通过 pypdf、pdfplumber 与 reportlab 完成的确定性字节级操作。

行为驱动测试的模式。在编写测试、创建测试工厂、组织测试文件或决定测试内容时使用。不适用于 UI 专项测试（参见 front-end-testing 或 react-testing 技能）。

在创建新技能、编辑现有技能，或在部署前验证技能是否可用时使用。

当你已有某多步任务的规格或需求、但还没动代码时使用。

为网站任意元素应用 CSS 与 JavaScript 视觉效果——文本、卡片、按钮、表单、导航、模态框、图片、加载器、滚动、光标、背景与微交互。只要用户要求“添加效果”“更好看”“做动画”“现代化”“变得交互化”“加样式”“更专业”，或发来按钮、卡片、标题、区块、导航栏、hero、表单、菜单、模态框等元素的截图/描述并寻求视觉改进，务必使用本技能。也在“这里能用什么效果”“给这部分想点创意”“怎么让站点更出彩”“这块太无趣”“X 站那个效果怎么做”以及询问各 CSS 效果作用与原理时触发。用户未明说 CSS 也要用——任何 Web UI 视觉改进请求都应触发。当用户表示正在搭建网站、落地页、作品集、仪表盘并希望令人印象深刻或更具竞争力时同样触发。

用于从零构建新的前端应用、仪表盘、游戏、创意网站、hero 区与视觉驱动型 UI，或当用户明确要求重设计/换风格/现代化时使用。构建方式：以干净、透气、高品位、易读的图像生成概念设计为起点，配合分节参考、忠实实现与浏览器测试。

通过 tsc --noEmit 进行 TypeScript 类型检查，输出可操作的错误信息。

Activepieces（开源 AI 自动化平台，「Zapier 的开源替代」）的设计系统。在为 Activepieces 设计、原型或构建 UI 时使用——Web 应用（flow builder、runs、connections、dashboard）、文档或营销页面。提供品牌紫 #8142E3、以 sm（14px）为正文字号的 Inter 字阶、Tailwind 中性色、Lucide 图标、Shadcn/Radix 原语约定、标志性的点状画布 builder 背景，以及复刻的 Web UI 组件库。

通过访谈生成带小步提交的重构详细计划，并以 GitHub RFC 文件形式落档。触发词：refactor plan、refactoring RFC、incremental refactor、safe steps。

后端服务实现模式、标准与流程。适用于构建 REST/GraphQL API、实现 CRUD 端点、数据库处理、认证、测试策略、外部服务集成、过滤/分页（DataGrid）、日志、Docker 配置与模块化架构。覆盖 Node.js、PHP、.NET、Java、Go 后端。

Kubernetes 部署模式、Helm Chart 与集群管理。适用于将应用部署到 K8s、设计工作负载配置、实施扩缩容策略或管理集群资源。

将过大的代理指令文件重构为渐进式披露结构。当用户要求拆分 AGENTS.md/CLAUDE.md/COPILOT.md、精简指令膨胀，或把指引整理为相互链接的主题文件时使用。

为质量与可维护性重构代码。触发词：refactor、clean up、restructure、improve code、modernize。

Cloud security attack methodology covering AWS, Azure, and GCP. Includes credential harvesting (IMDS, ~/.aws, env vars, leaked CI secrets, instance roles), enumeration with cloud-specific tools (pacu, ScoutSuite, Prowler, ROADtools, gcp_enum), privilege escalation paths (IAM PassRole, AssumeRole chains, Lambda/Functions privilege flips, Azure Owner-on-self, GCP serviceAccountTokenCreator), persistence techniques (IAM user/key creation, AAD app registration, GCP svc account key creation, EventBridge/Logic Apps backdoors), data exfiltration (S3/Blob/GCS, snapshot share, RDS/CosmosDB/Cloud SQL exfil), cloud-native lateral movement (cross-account assume, Azure AD multi-tenant, GCP project hierarchy), serverless attacks (Lambda env vars, layer hijack, Step Functions), Kubernetes-on-cloud (EKS/AKS/GKE-specific paths to node and AWS metadata), and CSPM evasion (CloudTrail blind spots, GuardDuty mute, Sentinel rule shaping). Use when the engagement scope is cloud accounts, when you've stolen cloud credentials, or whe

Time-of-Check / Time-of-Use (TOCTOU) race condition exploitation methodology across binary, kernel, filesystem, web, and container layers. Covers symbolic-link races (open/access/stat split), file-descriptor races, fopen/realpath traversal races, /proc and procfs races, FUSE-backed slow-fs races to widen the window, ptrace and signal races, kernel double-fetch / userspace pointer races, container/runc/symlink escape primitives, kubernetes admission/authz TOCTOU, web auth-vs-authz TOCTOU, JWT-claim TOCTOU at gateway vs service, payment/idempotency races, and modern race-amplification techniques (single-packet attack, slow loris, FUSE pause, cgroup freeze, scheduler shaping). Use when you've identified a 'check then act' pattern in code, when fuzzing for race conditions, or when exploiting concurrency bugs in privileged binaries / kernel / orchestrators.

面向渗透评估与漏洞赏金的 SQL 注入测试 skill。涵盖报错注入、UNION 注入、布尔/时间盲注、带外注入、二阶注入、NoSQL、GraphQL、WebSocket 与 JSON 算子 SQLi。包含 WAF 绕过技巧、各数据库的利用方式（MySQL、MSSQL、PostgreSQL、Oracle）、云原生攻击路径、ORM CVE 跟踪与 SQLmap 自动化。在做 Web 应用 SQL 注入测试、数据库枚举、借 SQLi 提权，或评估 API 与新技术栈中的注入点时使用。

移动（Android + iOS）应用渗透测试方法论。涵盖静态分析（Android 用 apktool/jadx，iOS 用 class-dump/Hopper/IDA）、Frida 与 Objection 动态插桩、SSL pinning 绕过策略、root/越狱检测绕过、deep-link / URL scheme 滥用、导出组件攻击（Android 的 activity、service、provider、receiver；iOS 的 XPC、URL scheme、universal link）、不安全数据存储（SharedPrefs、KeyStore 误用、NSUserDefaults、Keychain ACL 绕过）、IPC / Intent 重定向、WebView 漏洞（JavaScriptInterface、file:// 访问）、Firebase/AWS/Azure 配置错误泄露、移动端 API 测试、生物识别/Face ID/Touch ID 绕过、应用克隆与运行时打补丁，以及移动恶意软件/RAT 分析基础能力。用于移动端渗透、漏洞赏金移动方向排查或应用商店侦察。

创建具有高设计品质、可交付生产的前端界面。当用户要求构建 Web 组件、页面、海报或应用（如官网、落地页、仪表盘、React/Vue 组件、HTML/CSS 布局，或对任意 Web UI 进行样式/美化）时使用本技能。产出有创意、打磨到位且避免「AI 通用审美」的代码与界面设计。

通过 Build Web Apps 或 web dev 插件测试、调试或对已渲染的前端应用做定向改进时使用：本地开发服务器、UI 回归、交互 bug、控制台错误、响应式布局与视觉 QA。先检查 Browser 插件是否可用，可用则优先使用；否则使用常规 Playwright 并记录所选原因。

前端专家，负责 React、Next.js、TypeScript，采用 FSD-lite 架构、shadcn/ui 并与设计系统对齐。用于 UI、组件、页面、布局、CSS、Tailwind 和 shadcn 相关工作。

用伪元素蒙版技术（.border-gradient::before 写法）创建并应用 CSS 渐变描边，包含适配 Tailwind 的用法，以及角度、颜色、描边粗细与圆角的自定义。当被要求实现渐变描边、描边发光，或需要特定的 mask-composite 渐变描边片段时使用。

为复杂多步工作流创建上下文隔离的 Cursor 专用 AI 子智能体。在专为 Cursor 编辑器创建子智能体时使用，遵循 Cursor 的模式与目录（.cursor/agents/）。触发词："cursor subagent"、"cursor agent"。

Megatron Bridge 的测试参考——单元与功能测试目录结构、层级语义（L0/L1/L2/flaky）、脚本约定、本地运行测试、新增/移动/禁用测试，以及 pytest 约定。

MCP analyze-topic 工具使用的专家分析师人设，产出结构化的主题分析。在被 Atmosphere MCP 服务器的 analyze-topic 工具调用时使用。

聊天主持人角色，对进行中的对话做总结。在被 Atmosphere MCP 服务器的 chat-summary 工具调用时使用。

当对客户可见的 API 做出改动时使用——即 API 报告 .md 文件与 main 分支不一致时。指导发布标签分配、API 委员会评审要求、破坏性变更分类、弃用流程与 changeset 指引。当 ci-readiness-check 检测到 api-report diff 时会自动触发。

回答关于 pythongo 代码、文档、回调、错误、模块、函数、marketcenter、paramsmap、instrument_id、交易所、K 线数据与策略示例的问题。当用户询问 pythongo 的实现、行为、接口、用法、安装、FAQ，或需要基于内置 codebase、docs_indexed、docs_normalized、examples.md 与 pyi 参考文档的 pythongo 代码示例时使用

创建和管理带登录态持久的 Browserbase 云端浏览器会话。适用于需要自动化浏览器、跨交互保持已登录会话、抓取需认证的页面或管理云浏览器实例

在创建新技能、编辑现有技能，或部署前验证技能是否有效时使用。

生成带校验、分页辅助、风险分析与审计导向防护机制的安全 SQL 查询

构建精致、以转化为导向的前端，兼具出色审美、清晰层次与生产级 HTML/CSS/JS。落地页、仪表盘、组件、邮件、重设计——全部以可运行文件交付。避免千篇一律的 AI 审美，每个设计都有自己的观点

获得诚实的设计反馈。上传任何视觉作品——UI 设计、logo、照片、图形、PDF——获得按优先级排列的评审：哪里有问题、哪里做得好、哪里需要打磨。基于 11 个理论框架的分析

遵循 Apple 人机界面指南（HIG）与 Liquid Glass 设计体系设计原生 macOS 应用。适用于构建 SwiftUI/AppKit macOS 应用、验证设计或实现 macOS 特有模式

检测提示词注入、越狱、角色劫持与系统提示词提取尝试。通过语义分析与惩罚评分实施多层防御

扫描 AI Agent 技能中的安全漏洞、危险代码模式与未声明权限。三层分析：依赖 CVE 扫描、静态代码分析与权限审计。返回结构化 JSON 风险报告。适用于用户要求扫描技能安全问题、检查漏洞、审计权限或评估技能安全性

面向生产环境 AI Agent 的安全加固模式。涵盖提示词注入防御（7 条规则）、数据边界强制、外部集成默认只读、保障数据完整性的 WAL 协议、健康检查脚本、完整性关卡、规则升级阶梯与会话记忆安全。适用于加固 Agent 部署以对抗恶意输入、数据泄露或运行故障。不用于网络安全、基础设施加固或渗透测试

资深 10x 工程师，深谙 TypeScript 基础、迁移策略与最佳实践。适用于被要求“添加 TypeScript”“迁移到 TypeScript”、添加类型检查、创建 TypeScript 配置、修复 TypeScript 错误或处理 .ts/.tsx 文件时。支持 JavaScript 到 TypeScript 的迁移、JSDoc 类型注解、tsconfig.json 配置与类型安全代码模式

提供最佳实践编码约定，生成符合规范的 TypeScript 代码