代码审查 / GitHub MCP 推荐

移动 App 后端 API 安全测试。当目标是移动应用的后端接口、发现 /api/v1/ 等移动端 API 路径、或需要测试 App 与服务器之间的通信安全时使用。覆盖 API 端点发现、认证机制测试、业务逻辑漏洞、移动端特有的安全问题

MCP (Model Context Protocol) 协议安全测试方法论。当目标环境使用 MCP Server 集成外部工具、 需要评估 MCP 工具描述安全性、或测试 Agent 通过 MCP 调用工具时的安全边界时触发。 覆盖: 工具描述投毒、地毯式骗局(动态篡改)、指令覆盖(Shadow Tool)、隐藏指令(ANSI/Unicode)、 跨 Server 攻击、Token 窃取、Schema 操纵、上下文溢出。

当用户想对 PDF 文件做任何处理时使用本技能。包括：读取或提取 PDF 中的文本/表格、将多个 PDF 合并为一个、拆分 PDF、旋转页面、添加水印、创建新 PDF、填写 PDF 表单、加密/解密 PDF、提取图片，以及对扫描版 PDF 做 OCR 使其可搜索。只要用户提到 .pdf 文件或要求生成 PDF，就使用本技能

定义可接受的移动代码及移动代码技术。

数据库服务攻击方法论。当发现 Redis(6379)、MSSQL(1433)、PostgreSQL(5432)、MySQL(3306)、MongoDB(27017) 等数据库端口时使用。覆盖未授权访问、弱口令爆破、命令执行、文件读写、提权。任何涉及数据库攻击、数据库提权、数据库利用的场景都应使用此技能

当用户需要控制 browser_use 的浏览器启动方式时，使用本 skill。当前 browser_use 默认使用 managed CDP 启动本地 Chrome/Chromium；`headed` 控制是否显示窗口，`private_mode` 控制是否禁用 CDP、改走 Playwright，`browser_args` 传入额外的 Chromium 启动参数，`executable_path` 指定自定义浏览器可执行文件路径。

将 MoonBit 代码重构为地道风格：精简公开 API、把函数转为方法、使用带 view 的模式匹配、添加循环不变量，并保证测试覆盖不回落后退。在更新 MoonBit 包或重构 MoonBit API、模块、测试时使用

为 FastAPI 服务设计并评审 REST API，采用一致的资源命名、HTTP 语义、校验、安全与错误处理模式。用于 FastAPI/Python 项目中的后端 API 任务、端点设计/重构或 API 评审请求。

以治理为先的业务自动化架构师（n8n 优先），在实施之前先审计价值、风险和可维护性。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

TypeScript 的开发工具、lint 与构建配置。用于配置 ESLint、Prettier、Jest、Vitest、tsconfig 或任何 TS 构建工具。

应用现代 TypeScript 标准确保类型安全与可维护性。用于处理类型、接口、泛型、枚举、联合类型或 tsconfig 设置。

校验输入、保护认证令牌并在 TypeScript 中防范注入攻击。用于输入校验、处理认证令牌、数据净化，或管理密钥与敏感配置。

编写地道的 TypeScript 模式，产出整洁、可维护的代码。用于编写或重构 TypeScript 类、函数、模块或异步逻辑。

测试驱动的 CSS 设计系统改动。在修改 CSS 前后运行检查，验证 token 使用、变量定义、回退与一致性。在修改 CSS token、修复设计不一致或审计 CSS 架构时使用。

审计 MCP 服务器的协议合规性、元数据漂移与兼容性回归。在审查工具注解、工具/结果 schema、结构化输出、生命周期/初始化握手、capabilities、prompts/resources 支持、传输方式、认证、安全、版本漂移，或 Warden/CI 的 MCP 兼容性检查时使用。触发短语包括“audit MCP”“check MCP spec compliance”“review tool hints”“validate tools/list”“check initialize handshake”“review prompt or resource capabilities”以及“check MCP compatibility in Warden”。

在处理 Docker 容器时使用——调试容器故障、编写 Dockerfile、用 docker-compose 做集成测试、镜像优化或部署容器化应用。

Kubernetes 集群管理与故障排查。查询 Pod、Deployment、Service、日志与事件，支持切换上下文、扩缩容与发布管理。用于 Kubernetes 的调试、监控与运维。

基于本能（instinct）的学习系统：通过 hook 观察会话，创建带置信度评分的原子 instinct，并把它们演化为 skill、命令或代理。v2.1 增加了项目范围内的 instinct，以避免跨项目污染。

面向 AI agent 的浏览器自动化 CLI。当用户需要与网站交互、验证开发服务器输出、测试 Web 应用、页面导航、填写表单、点击按钮、截图、提取数据或自动化任何浏览器任务时使用。当开发服务器启动、需要可视化验证时也会触发。

为 plugin-eval 设计自定义指标包，让团队可以添加输出 schema 兼容 checks 与 metrics 的本地评测规则。当用户想要自定义评测标准或可视化呈现时使用。

Vercel 部署与 CI/CD 专家级指导。在部署、提升环境、回滚、检查部署、用 --prebuilt 构建，或为 Vercel 配置 CI 工作流文件时使用。

Next.js App Router 专家级指导。在构建、调试或架构设计 Next.js 应用时使用——路由、Server Components、Server Actions、Cache Components、布局、middleware/proxy、数据获取、渲染策略，以及在 Vercel 上部署。

使用用户提供的 Address JWT 与 API base URL，从 cloudflare_temp_email 邮箱收发邮件。当用户（或 OpenClaw/Codex/Cursor 之类的 agent）需要列出收件箱、获取指定邮件，或通过服务端解析的 /api/parsed_mails、/api/parsed_mail/:id 与 /api/send_mail 端点发送邮件时使用。若解析端点不可用，回退为用 mail-parser-wasm + postal-mime 在本地解析 /api/mail/:id 的原始源码。不处理邮箱创建——JWT 由用户自行提供。

Bitwarden 面向 Angular 与 TypeScript 的客户端代码规范。在创建组件、服务或修改 web/browser/desktop 应用时使用。

Bitwarden 的数据库架构、迁移与双 ORM 策略。在处理 .sql 文件、存储过程、EF 迁移或数据库 Schema 变更时使用。也用于判断某改动是否需要同时提供 Dapper 与 EF Core 实现，或破坏性的存储过程改动是否需要 _V2 版本化。

在本地运行与调试 C# MCP 服务器。涵盖 IDE 配置、MCP Inspector 测试、GitHub Copilot Agent 模式集成、日志设置与故障排查。适用：用 dotnet run 本地运行 MCP 服务器、为 MCP 调试配置 VS Code 或 Visual Studio、用 MCP Inspector 测试工具、用 GitHub Copilot Agent 模式测试、诊断工具注册问题、设置 mcp.json 配置、调试 MCP 协议消息、配置 stdio 与 HTTP 服务器日志。不适用：新建 MCP 服务器（用 mcp-csharp-create）、写自动化测试（用 mcp-csharp-test）、发布或部署到生产（用 mcp-csharp-publish）。

使用 C# SDK 与 .NET 项目模板创建 MCP 服务器。涵盖脚手架、tool/prompt/resource 实现，以及 stdio 与 HTTP 传输配置。适用：新建 MCP 服务器项目、用 dotnet new mcpserver 搭脚手架、添加 MCP tools/prompts/resources、在 stdio 与 HTTP 传输间做选择、在 Program.cs 中配置 MCP 托管、用 MapMcp 设置 ASP.NET Core MCP 端点。不适用：调试或运行现有服务器（用 mcp-csharp-debug）、写测试（用 mcp-csharp-test）、发布或部署（用 mcp-csharp-publish）、构建 MCP 客户端、非 .NET 的 MCP 服务器。

在多个层面测试 C# MCP 服务器：单个工具的单元测试，以及基于 MCP 客户端 SDK 的集成测试。适用：MCP tool 方法的单元测试、用内存 MCP 客户端/服务器做集成测试、经 MCP 协议的端到端测试、用 WebApplicationFactory 测试 HTTP MCP 服务器、在工具测试中 mock 依赖、为 MCP 服务器编写评测、设计评测问题、度量工具质量。不适用：测试 MCP 客户端（本技能只测服务器）、负载或性能测试、测试非 .NET MCP 服务器、调试服务器问题（用 mcp-csharp-debug）。

发布并部署 C# MCP 服务器。涵盖 stdio 服务器的 NuGet 打包、HTTP 服务器的 Docker 容器化、Azure Container Apps 与 App Service 部署，以及发布到官方 MCP Registry。适用：把 stdio MCP 服务器打包成 NuGet 工具、为 HTTP MCP 服务器编写 Dockerfile、部署到 Azure Container Apps 或 App Service、发布到 registry.modelcontextprotocol.io 的 MCP Registry、为 MCP 包元数据配置 server.json、搭建 MCP 服务器发布的 CI/CD。不适用：发布普通 NuGet 库（非 MCP 专用）、与 MCP 无关的通用 Docker 指导、新建服务器（用 mcp-csharp-create）、调试（用 mcp-csharp-debug）、写测试（用 mcp-csharp-test）。

在为 Bitwarden 的 Android 代码编写或审查测试时使用本技能。触发词：“BaseViewModelTest”、“BitwardenComposeTest”、“BaseServiceTest”、“stateEventFlow”、“bufferedMutableSharedFlow”、“FakeDispatcherManager”、“expectNoEvents”、“assertCoroutineThrows”、“createMockCipher”、“createMockSend”、“asSuccess”、“Why is my Bitwarden test failing?”，以及关于 Bitwarden 的 ViewModel、repository、Compose 界面或数据源的测试问题。

提供基础 CSS 设计令牌（自定义属性）：排版、间距、颜色、边框、z-index 与过渡。在为 Web 项目搭建基础令牌体系时使用。

运用布局、响应式设计、动画与 CSS 架构的最佳实践，编写现代、可维护的 CSS。在为网站写样式、修复 CSS 问题或实现设计稿时使用。

专家级 CSS 开发与最佳实践。在以下情况使用：(1) 编写或调试 CSS；(2) 用 flexbox、grid 或容器查询实现布局；(3) 创建动画与过渡；(4) 优化 CSS 性能；(5) 使用 CSS 预处理器或 CSS-in-JS；(6) 实现响应式设计；或当出现“样式”“CSS”“样式表”“设计”“布局”“动画”等词时。

使用 Sass/SCSS 进行高级 CSS 预处理，采用现代 @use/@forward 语法

优化 CSS 性能——关键 CSS、代码分割、无用样式清除与打包分析

使用现代 CSS 特性——自定义属性、容器查询、:has()、@layer、CSS 嵌套

CSS 生成、编辑与增强的综合工具。当用户需要从零创建 CSS、修改现有 CSS、用现代特性增强 CSS、优化 CSS 性能，或生成 CSS 框架与组件时使用。涵盖 CSS 的生成、编辑、增强、校验与优化任务。

精通 Flexbox 与 CSS Grid 布局，驾驭现代响应式设计

现代 CSS 专家（层叠层级、OKLCH、容器查询、防御式模式）。用于 CSS 实现、样式、布局、颜色、排版、响应式设计与 UI 组件。

强调 Web 标准、无障碍与性能的 CSS 编写指导。在编写、审查或重构 CSS 时使用。提供以原生 CSS 优先于框架、语义化结构与可维护代码为核心的模式、片段与约定。具体模式与片段参见 references/patterns.md。

使用 Tailwind CSS 工具类优先框架开发——配置、定制与最佳实践

在处理 Docker 容器时使用——调试容器故障、编写 Dockerfile、用 docker-compose 做集成测试、镜像优化或部署容器化应用。

自动化开发技能。包含 Git 操作、MCP 工具集成、文档转换、代码打包、Skill 创建。适用于开发工作流自动化。

测试规划与优先级的核心 QA 工程思维。用于分析该测什么、设计测试用例、按风险排序及确定覆盖率策略。在触发于“该测什么”“测试策略”“覆盖率”“测试优先级”“设计测试用例”“P0 P1 P2”时启用。

Power Automate、n8n、Make、Zapier 等工作流平台的专家级自动化错误调试器。分析含错误信息的 JSON 流程定义，检索官方文档，并生成可直接复制粘贴的完整修复 JSON。当用户提供报错 JSON 文件、含错误的工作流 JSON、错误信息、调试请求或失败的自动化内容时触发。返回含根因分析与可运行修复 JSON 的结构化调试报告。

破坏性变更（审查要点）。

当你已有某个多步骤任务的规格或需求时使用。产出包含小步任务、精确文件路径和完整代码示例的可执行实施计划。