Cursor 必备 MCP 组合推荐

在 APM CLI 代码库中创建新模块、重构类层次、引入设计模式，或进行横跨 3 个以上文件的改动时启用。

Node.js/Express/TypeScript 微服务的完整后端开发指南。在创建路由、控制器、服务、repository、middleware，或使用 Express API、Prisma 数据库访问、Sentry 错误追踪、Zod 校验、unifiedConfig、依赖注入或异步模式时使用。涵盖分层架构（routes → controllers → services → repositories）、BaseController 模式、错误处理、性能监控、测试策略，以及从遗留模式的迁移。

React/TypeScript 应用的前端开发准则。包含 Suspense、懒加载、useSuspenseQuery、按 features 目录组织文件、MUI v7 样式、TanStack Router、性能优化与 TypeScript 最佳实践等现代模式。在创建组件、页面、功能模块、拉取数据、写样式、路由或处理前端代码时使用。

检查 Rust 变更中的 SQLx 查询。修改了新增或变更 SQLx 查询的 Rust 代码后使用：确保使用编译期 SQLx 宏、运行 `just prepare_db` 更新离线查询缓存，并审阅查询的性能与安全问题。

使用 `sqlx migrate add <name>` 创建 SQLx 迁移文件。当被要求添加、创建或生成 sqlx/sqlx-cli 数据库迁移时使用。

智能重构指令。触发词：refactor、refactoring、cleanup、restructure、extract、simplify、modernize。

移除分支改动或明确文件列表中的 AI 生成代码异味（slop）。先用回归测试锁定行为，再通过批次为 5 的并行 deep agent 执行分类清理，最后用质量门禁验证。覆盖 10 类 slop，包括性能等价性、过度复杂（对象标注、if/elif 分支链）与超大模块（250+ 有效 LOC，并强制做模块化重构）。当用户要求 “remove slop”“clean AI code”“deslop”“clean up AI-generated code”“remove AI slop” 或清理近期改动中 AI 生成模式时务必使用。触发词：remove ai slops、clean ai code、deslop、cleanup AI generated、remove AI slop、clean up AI-generated code、strip slop、ai-slop cleanup。

打造独特、生产级、高设计质量的前端界面。在构建 Web 组件、页面、产物、海报或应用（网站、落地页、仪表盘、React 组件、HTML/CSS 布局，或对任意 Web UI 做样式美化）时使用。生成富有创意的精致 UI，避免千篇一律的 AI 审美。

如何为 agent-native 应用或模板写出优秀的 agent 指令：AGENTS.md、skills 及工具/动作描述。在撰写或评审 AGENTS.md、编写 SKILL.md、措辞 action 描述，或决定内容该放指令、skill 还是记忆时使用。

支持自然语言条件的事件触发与定时触发自动化。在创建自动化、接线事件，或理解触发器如何触发时使用。

代理自动化的总入口：选择

进行多维度代码审查。合并任何变更前使用。审查自己、其他 agent 或人类编写的代码时使用。在代码进入主干前需跨多个维度评估代码质量时使用。

加固代码以抵御漏洞。在处理用户输入、认证、数据存储或外部集成时使用。任何接受不可信数据、管理用户会话或对接第三方服务的功能开发均适用。

审查 DeerFlow skill 包在可用性、触发、安全边界、资源与证据方面的就绪度。当用户要求审计、评级或对已有 skill 做生产检查时调用。

针对 warp 仓库的专用审查指引。仅核心 review-pr 技能声明为可覆盖的类别可在此定制。

管理 Agent Framework Python monorepo 中包的指南，包括新建连接器包、版本管理与 lazy-loading 模式。在添加、修改或发布包时使用。

在将编码或仓库工作委派给外部终端编码 agent（用户的宿主 Claude Code/Codex/Cursor/Gemini CLI，或容器内安装的 pal agent）时使用。

审阅 Scout UI/API 测试（含 Scout 测试迁移）在最佳实践、复用与对等性上的表现。

Audit README, SPEC, and PRODUCT docs against recent git history for drift and make minimal PR-ready edits. Use when asked to review docs for accuracy, after major feature merges, or on a schedule.

Iterate on a GitHub PR until latest-head checks are green or a precise blocker is named. Use when a PR still has failing or pending checks after review fixes, including after greploop.

Check a GitHub, GitLab, or Perforce PR/MR/CL for review comments, failing checks, and PR-body gaps. Use when asked to inspect, fix, or prepare a change for submission.

Handle confidential GitHub Security Advisory response for Paperclip. Use when coordinating advisory triage, private-fork fixes, CVE/publication steps, and immediate security releases.

当某项操作 issue 属于 Paperclip 的光标窗口、蒸馏或回填时使用。把随源捆绑的 Paperclip 活动转化为有洞察的项目站会、持久项目页、决策与历史，无需解引用资源。

LobeHub React 组件约定。在编辑 TSX UI、于 base-ui 与 @lobehub/ui 及 antd 间做选择、用 antd-style 写样式、路由、桌面变体、布局与组件状态时使用。

按写作指南审查或撰写文档/文案。当被要求“审查我的文档”“检查写作风格”“审计文案”“评审文档语气语调”“对照写作手册检查此页”时使用——并在编写或编辑 docs/src/content/docs/ 下的内容时主动应用，这是本仓库的默认文档风格。

面向漏洞的安全代码审查。当被要求“安全审查”“找漏洞”“检查安全问题”“安全审计”“OWASP 评审”，或审查注入、XSS、认证、授权、加密相关问题时使用。提供系统化审查与基于置信度的报告。

产品经理的年终自我复盘——职责、成果、成长与诉求，全部有证据支撑。以面向上级与评审委员会的决策级职业幻灯片构建。

面向全体员工的 IT 安全意识培训——识别钓鱼邮件的征兆、演练与最初 60 秒该做什么。以决策级专业培训幻灯片形式构建。

用于开发或修改 @handsontable/react-wrapper 包——React 组件、hooks、settings 映射、updateSettings 期间的选区保持，以及该封装的 TypeScript prop 类型与生成的 .d.ts。当任务触及 HotTableProps/HotColumnProps 类型或 <HotTable>/<HotColumn> 的 IDE 自动补全、声明构建，或反馈 React/TypeScript 用户得不到 prop 建议时使用——即便未显式提到该封装。

Refactor 主入口。触发：优化/重构/拆分/性能/代码太长，且不改变行为、不新增需求。不要用于新增功能(cs-feat)、修复 bug(cs-issue)、对外文档(cs-docs)、大需求拆解(cs-epic)。

审阅 Apache ShardingSphere 的 PR 是否真正修复了根因，评估副作用与回归风险，并基于公开证据判断代码正确性或可合并性。若不可合并，则在 PR 的方向、根因模型或问题界定需要重新讨论时，产出符合维护者口吻的修改请求或需讨论反馈。也适用于 GitHub 可见的 PR 讨论、审查评论、被质疑的发现，以及可直接粘贴的维护者回复——凡涉及审查正确性、可合并性、修改请求合理性或根因证据的判断。支持面向高风险或明确拒绝零散审阅的全覆盖台账审查，并在最终输出前自我迭代。

分析 Agent Host 调试日志导出。在拿到 ah-logs 或 ahp-logs 压缩包/目录、Export Agent Host Debug Logs 导出的内容、events.jsonl、AHP JSONL 传输日志、Agent Host.log、remote-agenthost.log 或 copilot-logs 时使用。

查找并读取 Code OSS 开发版构建中带时间戳的进程日志，包括 main.log、renderer.log、扩展宿主日志与 agenthost.log。若日志来自 Export Agent Host Debug Logs 导出的压缩包，请改用 agent-host-logs。

Coordinate a full Paperclip release across engineering verification, npm, GitHub, smoke testing, and announcement follow-up. Use when leadership asks to ship a release, not merely to discuss versioning.

执行一次全面的代码审查。

适用于任何编码任务（编写、重构、修复、审查）的偷懒资深开发模式：YAGNI、标准库优先、不做未经要求的抽象。不适用于非编码请求。

端到端完成工程博客写作：发布深度解读、故障复盘、架构迁移、性能案例、教程、AI/agent 系统记录、安全披露，以及从研究到产品的转化文章。选对文章原型、规划抽象阶梯、遵循证据节奏（图示、基准测试、profile、trace、代码、消融实验），按 Datadog、Vercel、GitHub、AWS、Meta、Cloudflare、Jane Street 等发布方的行文风格校准语气，并在发布前用叙事推进与披露伦理两道门禁检查。在起草新的工程文章、重构成色平淡的初稿、判断某种证据该放在何处、校验技术深度与产品背景是否均衡，或为对外发布准备故障复盘、迁移、性能叙述时使用。不用于 API 参考文档、README、营销文案、release notes、泛 SEO 内容、代笔高管观点文章，以及非工程类长文。

编写、重构与调试 agent skill。在从零创建新 skill、精简或重组臃肿的 SKILL.md、收紧 skill 描述里的触发条件，或诊断 agent 忽略内嵌 references 时使用。不用于 CLAUDE.md、AGENTS.md 这类 agent 指令文件（改用 agent-md-refactor）、一般文档或 README。

用 Martin Fowler 的代码坏味道与技术目录审计代码库的重构机会——过长函数、重复代码、高耦合、复杂条件、基本类型偏执——并把按优先级排序的报告写到 docs/_refacs/。在审计代码质量、规划重构冲刺或检查架构健康度时使用。不用于风格/格式化、性能或安全审计。

关于“写出能暴露 bug 而非侥幸通过”的测试准则，覆盖软件与 LLM/AI 系统。在编写或评审测试、新增 mock、判断测试该放在哪一层、让编码 agent 生成测试、排查 flaky CI、为 LLM/agent 功能设计 eval 套件，或重建脆弱的测试集时使用。不用于通用代码评审、与测试无关的库调试、超出测试范围的 CI 流水线设计，或生产可观测性。

掌握 TypeScript 的高级类型系统，包括泛型、条件类型、映射类型、模板字面量类型与工具类型，用于构建类型安全的应用。在实现复杂类型逻辑、编写可复用的类型工具，或保证 TypeScript 项目的编译期类型安全时使用。不用于纯 JavaScript、运行时校验库（Zod、Yup）或基础的 TS 语法问题。

当用户要求对 pull request、commit、分支 diff、工作树补丁或其他基于 Git 的变更集做安全审查时使用。

用于对整个仓库或某个限定路径、包目录、子模块做标准单轮安全审计（没有 diff 可审的情况）。这是默认的仓库扫描。不用于 PR/commit/分支/工作树 diff，也不用于深度多轮或降低方差的扫描。

对照安全基线评审 MCP（Model Context Protocol）server、客户端与工具处理器的实现源码——认证、会话、限流、输入 schema 校验、官方 SDK 使用、RCE 向量及 OWASP MCP Top 10——产出带文件/行证据的报告。适用场景：发布前评审 MCP server 实现的安全性；对照基线控制项（MCP-01 至 MCP-05）与 OWASP MCP Top 10 检查 server；审计工具中的 RCE 向量（命令/代码注入、不安全反序列化、路径穿越、SSTI、依赖劫持、SSRF）；验证网络暴露 server 的认证、会话、限流与输入校验；评审处理不可信 server 响应和会话 ID 的 MCP 客户端代码；以及"帮我做这个 MCP server 的安全评审""我的 MCP server 实现安全吗"之类请求。

在需要复盘自我改进类自动化的执行结果与启用策略时使用。

在为 Shiny for Python (py-shiny) 应用编写或运行端到端测试时使用——在 pytest 下启动应用、定位并断言 UI 组件（输入、输出、卡片、导航集）、用 Playwright 模拟用户交互，或当你想对 Shiny 渲染的 HTML 手写 CSS 选择器、原始 Playwright 定位器或 sleep() 等待时

通过 CLI 命令以自然语言自动化 Web 浏览器交互。当用户要求浏览网站、导航页面、从网站提取数据、截图、填表、点击按钮或操作 Web 应用时使用。支持远程 Browserbase 会话：Browserbase Identity、验证浏览器、自动解 CAPTCHA 与住宅代理——适合受防护的网站与重 JavaScript 页面。

遵循 HashiCorp 模块设计原则与社区最佳实践，将单体式 Terraform 配置改造为可复用、易维护的模块。