Cursor 必备 MCP 组合推荐

Sentry 后端在日志、tracing/span、span/tag 属性命名、metrics tag 与 options 系统方面的约定。在 src/ 中新增或编辑以下 Python 代码时使用：打日志（logger.info/exception）、记录指标（带 tag 的 metrics.incr/timing）、为 span/transaction 埋点、调用 sentry_sdk.set_tag/set_attribute 或 set_span_tag/set_span_data、用 options.get() 读取已注册 option。触发语：“add logging”“log an error”“add a metric”“add a span”“instrument tracing”“set an attribute”“add a tag”“read an option”“LOG005”“LOG011”，或关于 metrics tag 基数的问题。

为 Supabase Studio（e2e/studio）编写并运行 Playwright E2E 测试。在被要求跑 E2E 测试、编写新 E2E 测试或调试不稳定/失败的 Playwright 测试时使用。涵盖执行命令、规避竞态条件、等待策略、选择器、辅助函数以及 CI 与本地差异。

dev toolbar、PostHog 客户端与特性标志的安全规则。在编写或评审 packages/dev-tools/、packages/common/posthog-client.ts 或 packages/common/feature-flags.tsx 的任何改动时使用。涵盖环境守卫、标志覆盖 cookie、遥测事件订阅以及 SSE 流安全。

Supabase Studio 的测试策略。在编写测试、判断改动是否需要测试及需要什么类型、把组件逻辑抽取为可测试的工具函数，或评审测试覆盖度时使用。涵盖单元测试、组件测试与 E2E 测试的选型标准。

只要代码会构建、返回、拉取或执行针对用户真实 Postgres 数据库的 SQL，就使用本 skill——即使需求读起来像普通功能或 bug 修复，完全没提“security”“injection”或“SafeSqlFragment”。覆盖：编写或修改任何构造/返回数据库对象（表、视图、函数、DB 触发器、索引、RLS 策略）SQL 的 pg-meta 函数、查询构造器或接口；把 schema/表/列/搜索词/路由参数插入 SQL 文本；存储、读取或重跑从数据库往返的 SQL（策略定义、函数/视图定义、片段保存内容）；以及任何把 SQL 发到项目库的 Run/Apply/Execute 动作（SQL 编辑器执行选中、策略编辑器应用、片段执行器）。在动手写这类代码前就要加载，不要只在评审成品 diff 时才用。仅在改动完全不涉及 SQL 文本或执行时跳过——样式、无关的数据 hook、非 SQL 表单校验或 UI 布局工作。

针对 ClickHouse 支撑的 logs 表（logs.all.otel 分析端点）编写、评审与迁移 Supabase 日志查询。只要任务涉及 Logs Explorer SQL、log_attributes map、按日志 source 查询（edge_logs、postgres_logs、auth_logs 等）、把旧的 BigQuery cross join unnest(metadata) 日志查询翻译为 ClickHouse，或在 apps/studio/data/logs 与 apps/studio/components/interfaces/Settings/Logs 中接入分析日志 SQL 时使用。用户即使只说“日志查询”“Logs Explorer”或粘贴一段 BigQuery 日志查询待转换也应使用，不必非要提到 ClickHouse。

易于扩展的 React 组合模式。适用于重构 boolean prop 泛滥的组件、构建灵活的组件库、设计可复用 API。当任务涉及 compound components、render props、context provider 或组件架构时触发。包含 React 19 的 API 变化。

Supabase Studio 数据获取的 React Query 规范。在 apps/studio/data/ 下编写或评审 query hook、mutation hook 或 query key 时使用，包括为新接口或资源加首个 fetch 或 mutation。涵盖 queryOptions 模式、keys.ts 结构、mutation hook 模板与命令式 fetch。

通过 @mui/material-nextjs、Emotion 缓存 provider、next/font、与 Tailwind/CSS Modules 并存的 CSS layers、Link 组件 prop 用法、CSS 主题变量 SSR 注意事项，以及 App Router 下 useSearchParams + Suspense 等，将 Material UI 与 Next.js App/Pages 路由集成。在安装或调试 Next.js 应用中的 MUI 时使用。

主动渗透测试工具链。覆盖信息收集、端口扫描、漏洞扫描、Web 渗透、SQL 注入、目录爆破、密码破解等场景。通过 MCP server（pentestMCP / mcp-security-hub）将 20+ 安全工具暴露给 AI agent。触发关键词：渗透测试、端口扫描、Nmap、漏洞扫描、Nuclei、SQL 注入、SQLMap、目录爆破、FFUF、密码破解、Hashcat、信息收集、子域名、Web 渗透、ZAP、Burp。

实战 SRC / 众测 / Bug bounty 漏洞挖掘工作流 skill。包含：5 阶段方法论（intake → recon → enum → hunt → report）、19 个攻击类 playbook（SQLi/XSS/RCE/SSRF/IDOR/CSRF/Path Traversal/File Upload/SSTI/XXE/Race/HTTP Smuggling/OAuth/JWT/SAML/GraphQL/Mobile/LLM/DoS）、305 个结构化 payload、263 个 WAF/EDR 绕过变体、2887 份 HackerOne 真实 High/Critical 已披露案例、77,000+ WooYun 案例统计、国产 OA / 中间件指纹库、银行 / 电信行业垂直 playbook。当用户提到 "src 挖洞 / src 漏洞挖掘 / bug bounty / 众测 / hackerone / 漏洞赏金 / SRC / 任意 X 漏洞 / 渗透测试" 或问"如何挖某个目标 / 怎么测某个 API / 如何绕过 WAF" 时触发。

Tailwind CSS 的官方 daisyUI 组件库技能。当你编写 HTML 或 JSX 代码时必须使用它；即使用户没有要求也应使用。

在创建新的 WarpDrive 前端模型，或阅读、使用、修改已迁移到 WarpDrive 的模型（frontend/discourse/app/data 下的内容或继承 RestCompatModel/WarpRestModel 的类）时使用。

以 Atelier Zero 视觉语言（Monocle / Apartamento / Études 编辑式拼贴）产出世界级的单页编辑型落地站——即 OpenDesign 自家营销页面所用的同一美学。代理从品牌简报填充类型化 `inputs.json`，可选经 gpt-image-2 生成 16 张拼贴素材，再由纯函数 compose 器输出自包含 HTML 文件。滚动显影动效与 Headroom 式吸顶导航自动装配。

让机械式重构（文件拆分、函数移动、模块抽取、重命名）变成机器可校验而非靠肉眼检查：从忠实的原始内容逐字节复现移动类提交，并把抽取操作拆成可验证的 prepare + move + postpare。在做或评审此类变更时使用。

在 Cursor 上配置 claude-mem 时使用：本地或远程 worker，本地主机登录观察器或远程 cmem.ai 推理。

为 PostHog 中的 Django 模型添加或修改活动日志（审计跟踪）。当模型的写操作必须出现在 Activity 侧栏或高级活动日志中、在添加 ModelActivityMixin、ActivityScope、model_activity_signal 接收器、活动描述器或字段排除项、审计模型哪些写路径被记录，或某变更缺失于活动日志时使用。涵盖接收器模块约定、信号看不到的写操作（QuerySet.update、bulk_create）、请求之外的 actor，以及位于独立数据库上的产品模型。触发词：activity log、audit log、audit trail、ModelActivityMixin、log_activity、changes_between、activity describer、who changed this。

Track physical units and propagate measurement uncertainty in scientific calculations using pint and uncertainties. Use for unit conversion and dimensional checking, GUM uncertainty budgets, Type A and Type B evaluation, coverage factors and expanded uncertainty, Monte Carlo propagation, significant-figure and plus-minus reporting, error propagation through curve fits, CODATA constants, auditing Python code for stripped units or broken uncertainty propagation, and order-of-magnitude plausibility checks using dimensionless groups (Reynolds, Peclet, Damkohler, Knudsen, Biot, Womersley), characteristic scales such as diffusion time or Debye length, and observed magnitude ranges. Trigger on "is this number physically reasonable", "sanity check these units", "what regime is this flow in", or a result that looks off by orders of magnitude.

当需要在 Python 中进行精确符号数学时使用——代数、微积分、方程求解、符号线性代数，或经 lambdify/LaTeX 生成代码。浮点近似即可满足需求时优先使用 NumPy 或 SciPy。

通过 PyTDC Python 包使用 Therapeutics Data Commons：registry 发现、已批准数据集访问、任务感知的数据切分、评估指标、基准分组，以及有界的分子 oracle 工作流。

使用多个学术数据库（PubMed、arXiv、bioRxiv、Semantic Scholar 等）开展全面、系统化的文献综述。适用于生物医学、科学和技术领域的系统性文献综述、meta 分析、研究综合或全面的文献检索。生成专业排版的 markdown 与 PDF 文档，支持多种引用格式（APA、Nature、Vancouver 等）并带引用核验。

编排 Open Notebook 的一次发布——变更日志核查、基于风险的 A/B/C 测试矩阵、Docker 镜像门禁（全新安装＋升级）、经 PR 的修复循环、版本切分、带署名的发布，以及回顾。在准备、测试、切分或发布版本时使用。

在被明确请求时，进行结构化的 Codex、Claude、Amp、Pi 或 Kimi 代码审查。

管理 OpenClaw GitHub Actions 与 Blacksmith CI 的容量：runner 注册预算、扇出上限、main 推送单飞、分片规模、托管 runner 分担、队列健康，以及安全的降载/升载变更。用于调优 `.github/workflows/*`、`docs/ci.md`、CI runner 标签、matrix `max-parallel`、ClawSweeper/Blacksmith 突发保护、CodeQL runner 分配，或排查 OpenClaw CI 排队/缓慢问题。

在 Telegram 测试服务器上，用 Convex 租用的团队凭据验证用户可见的 OpenClaw Telegram 行为：驱动真实用户轮次，并记录消息、编辑、删除、表情回应、输入状态或富内容。

逐用例对 opencode 本身做 QA：验证 CLI/终端（opencode run、db、serve、export）、通过 SSE 事件流证明某个插件钩子/动作/事件已触发、在 tmux 下对 TUI 做冒烟测试，以及按 id、标题/名称或消息文本在 opencode 的 SQLite 数据库中调查会话。自带经测试的辅助脚本（每个都有 --self-test）与分领域的参考文档。凡要对 opencode 的 CLI、HTTP server、插件钩子/事件或 TUI 做 QA、冒烟测试、验证或调试，或要查找并检查数据库中的 opencode 会话时使用。触发词：opencode qa、qa opencode、test opencode、verify opencode hook、opencode session db、find opencode session by id/name/text、opencode tui test、opencode server health、opencode event stream。

在编辑、评审或审计 PostHog 的 DRF viewset 与序列化器时使用。触发于 posthog/api/、products/*/backend/api/、products/*/backend/presentation/ 下的文件，或任何导入 rest_framework 的文件。涵盖字段类型标注、schema 注解、枚举冲突修复与 OpenAPI 规范质量——这些都会流向下游生成的 TypeScript 类型与 MCP 工具。

使用 @upstash/redis 在 serverless 与边缘运行时通过 HTTP 访问 Redis，并用 @upstash/ratelimit 实现限流。适用场景：涉及 Upstash Redis；在 Next.js 路由处理器或中间件、Vercel、Cloudflare Workers、Deno、Bun 中无需 TCP 连接池地访问 Redis；或需要基于 TTL 的 cache-aside 缓存、会话存储、计数器，以及固定窗口、滑动窗口、令牌桶实现的 429 限流。不适用于自建或基于 TCP 的 Redis 客户端（ioredis、node-redis）、Redis Cluster 管理或向量相似度检索。

诊断 OpenShell gateway 部署为何不健康、不可达或无法创建 sandbox。适用于 gateway 健康失败、Docker/Podman 运行时问题、Helm 失败、Kubernetes 调度、TLS 或认证、gateway 拦截器、supervisor middleware 启动或运行时失败、外部 compute-driver socket、VM 驱动、sandbox 启动等问题。触发词：debug gateway、gateway failing、deployment failing、helm install failing、cluster health、gateway health、gateway not starting、health check failed、sandbox pending、docker driver、podman driver、kubernetes driver、external driver、compute driver socket、gateway interceptor、supervisor middleware、middleware failed、vm driver。

为 OpenClaw 测试、CI 检查、Docker E2E 流水线、发布验证选择运行方式，或重跑、调试，找出成本最低且安全的验证路径。

在 Dynamo Fern 文档站上添加、更新、移动或删除内容——标准文档页面、目录驱动的配方与功能基准页面、示例、配方及翻译——始终保持与文档风格指南一致。适用于 docs/、recipes/ 或 examples/ 下的任何变更（新建页面、编辑、标签页或章节移动、重命名、移除、配方/基准页面、.zh-CN 翻译、版本切割），决定页面应归属的文档标签页（Kubernetes 指南 vs CLI 指南 vs 参考 vs 用例），以及任何需要修正 frontmatter、标题、链接、标注或术语的内容。

通过 strix cloud CLI 或 REST API 在 app.strix.ai 平台上对 Web 应用、API、仓库或本地工作区进行托管式渗透测试,无需本地 Docker 或 LLM key。可安全审阅并上传本地源码、注册资产、启动并轮询扫描、分诊漏洞、导出 SARIF、下载合规报告、启动 PR 审查、购买额度和配置定时任务或 webhook。适用于托管式、持续、定时、团队跟踪或沙箱 agent 的安全测试。

从精选列表或 GitHub 仓库路径把 Codex skill 安装到 $CODEX_HOME/skills。当用户要求列出可安装 skill、安装精选 skill，或从其他仓库（含私有仓库）安装 skill 时使用。

在 GitHub PR 创建后持续轮询评审评论、CI 检查/工作流运行与可合并状态直至其被合并/关闭或需要人工介入。诊断失败原因、对疑似 flaky 失败最多重试 3 次，并在合适时自动修复并推送分支相关问题，同时持续监视未关闭的 PR 以便及时反馈新的评审意见。当用户要求 Codex 盯住某个 PR、观察 CI、处理评审评论，或持续关注未合并 PR 上的问题与反馈时使用。

当任务受益于 AI 生成的位图视觉（照片、插画、纹理、精灵图、样机、透明背景抠图）时生成或编辑位图图像。当 Codex 需要新建图像、变换既有图像或从参考衍生视觉变体，且产物应为位图素材而非仓库内的代码或矢量图时使用。若更适合编辑现有 SVG/矢量/代码原生资产、扩展既有图标或 logo 体系、或直接在 HTML/CSS/canvas 里画视觉，则不要使用。

关于如何使用 Design System 的样式与组件的规范。在 packages/frontend 中处理 .vue 文件时使用。涉及组件架构、样式、UI 改动或功能开发的场景都会触发。

为 Discourse 核心、插件、主题与主题组件编写和修复 HTML/CSS/SCSS。在编写或修改模板（.gjs/.hbs）、样式表（.scss）、组件标记、类名、响应式布局、FormKit/select-kit 样式或处理 CSS 回归时使用。涵盖 Discourse 的 BEM 加独立修饰符命名、CSS 自定义属性色彩体系（主题化与暗色模式）、模板/HTML 约定、CSS 修复模式，以及样式表的存放位置。

按 n8n 约定创建 Linear 工单或 GitHub issue。当用户要求创建工单、报缺陷、开 issue，或输入 /create-issue 时使用。

管理通过 API 暴露的 CLI 工具集成。列出、配置并调用扩展 OmniRoute 自动化能力的 CLI 工具插件。

触发系统备份、从备份文件恢复并管理 SQLite 数据库生命周期。支持导出、导入和增量快照策略。

Tinybird CLI 命令、工作流与操作。在执行 tb 命令、管理本地开发、部署或处理数据操作时使用。

在 PostHog 中创建基于产品分析或 SQL 的箱线图 insight。当用户要求创建、构建或保存箱线图、可视化数值分布、跨日期或分组比较四分位数/中位数，或把 SQL 结果变成箱线图时使用。在标准 Trends 箱线图与 SQL insight 之间做出选择、校验分布数据、保存 insight 并验证。

遇到任何粘贴的 OpenClaw GitHub issue 或 PR 链接/编号时立即使用；也用于 OpenClaw issue/PR 编排、审查、分诊、根因修复、PR 重写、重复搜索、发起人身份/作者信息、账号注册时间/活跃度、评论、标签、关闭、合入或维护者证据核查。

为查看自己结果的客户调试和支持 PostHog Experiments（A/B 测试）。只要粘贴了实验支持工单或客户提出结果相关问题就使用，最常见的是“为什么我的曝光不均？”“为什么某个变体没有流量？”“为什么我缺少/只见很少曝光？”“为什么出现偏差横幅？”“为什么 PostHog 的数字和我的 SQL 对不上？”。以只读方式拉取实验真实数据，对照已知成因清单匹配，产出面向客户的解释、修复方案与相关数字的评审。加载 diagnosing-experiment-results 作为深度诊断库。不触发：创建实验（用 creating-experiments）、仅配置放量（configuring-experiment-rollout）或指标（configuring-experiment-analytics）、询问生命周期问题（managing-experiment-lifecycle），或行为异常的是底层 feature flag 而非结果（用 debugging-feature-flags）。

在 beta、stable 或 extended-stable 发布前，根据 git 历史重新生成 OpenClaw 发布日志小节。

为社交媒体、广告、网站 hero 区、创意素材与印刷设计 banner。提供多套美术方向与可选的生成图或用户素材。动作：设计、创建、生成 banner。平台：Facebook、Twitter/X、LinkedIn、YouTube、Instagram、Google Display、网站 hero、印刷。风格：极简、渐变、粗字排印、摄影、插画、几何、复古、玻璃拟态、3D、霓虹、双色调、编辑风、拼贴。

把工程分析（PR / CI）数据转化为已保存的 PostHog insight、仪表盘与订阅，并说明如何用 SQL 直接查询产品数据。涵盖经 engineering-analytics-sources 发现按团队的 GitHub 仓库表、在 HogQL 中复刻精心的列语义、在涉及产品逻辑时读取暴露的 engineering_analytics_* 仓库视图（CI 成本、指纹化失败行、提交归属）、用 insight-create 保存查询，以及用 subscriptions-create 安排投递。当被要求“把这个存成 insight”“把 CI 健康度/合并时长做成仪表盘”“每周给我邮件发 PR 吞吐量”“画 CI 成本图”“跟踪首次评审时长”“订阅这些数字”“对 CI 成功率告警”或询问“工程分析读取哪些数据/表/视图”时使用。临时性 CI 与合并问题用 diagnosing-ci-and-merge-bottlenecks；调查某个具体 CI 失败用 investigating-ci-failures。

管理弃用与迁移。在移除旧系统、API 或功能、把用户从一种实现迁移到另一种实现、在生产中迁移数据库 schema（如零停机重命名或删除列的 expand/contract）时使用；也在决定是维护还是下线既有代码时使用。