Cursor 必备 MCP 组合推荐

移除应用冗余、加固数据安全、让故障可见。用这个 skill 安全地清理死代码与未使用资源、修复硬编码 API key 这类漏洞、修正静默异常（空 catch 块）、把重量级图片资源转为 WebP，并确保日志中不含 PII。

Kubernetes 执行平台 —— 把 TAO 容器任务以单 Pod 的 k8s Job 形式提交，并按 NVIDIA GPU 进行调度。适用于已安装 NVIDIA GPU Operator 的 EKS / GKE / AKS 或本地集群，或需要把 TAO 接入现有 k8s 原生 ML 平台时。

布设 canarytokens 与蜜罐凭据并在泄露时告警。

通过投毒的检索上下文与嵌入操纵，探测 RAG 应用是否存在提示注入。

提取并防御系统提示词及其内嵌密钥与路由逻辑。

用 CMake 构建 SQLiteCpp。用于 CMake 构建、测试、选项或构建脚本。

当用户要求“优化 SQL 查询”“探索数据库 schema”“生成迁移 SQL”“分析查询性能”或“记录数据库结构”时使用此技能。

面向 PostgreSQL、MySQL、MongoDB 与 DynamoDB 的数据库设计，含 schema 分析、索引优化与迁移生成。在设计 schema、优化查询、规划迁移或分析数据库性能时使用。

从需求出发设计关系型 schema，含规范化、迁移、ERD、RLS 策略与索引，面向 PostgreSQL、MySQL 与 SQLite。在设计新功能、审查 schema 或添加多租户时使用。

基于 Node.js/Express/Fastify 与 PostgreSQL 的后端开发。在设计 REST 或 GraphQL API、优化数据库查询、实现认证、构建微服务、处理迁移或审查后端代码时使用。

设计、构建并运维 Kubernetes operator。在通过自定义控制器扩展 Kubernetes、选择框架、设计 CRD、实现调谐循环或审计 operator 反模式时使用。

当用户要求“分析 Dockerfile”“优化 Docker 层”“校验 docker-compose”“检查容器最佳实践”或“审计 Docker 配置”时使用此技能。

对 sqlc 风格目录中的每条查询执行 EXPLAIN QUERY PLAN，并与基线比对执行计划。可检测 PR 引入的新全表 SCAN 和 TEMP B-TREE 排序扫描。目前仅支持 SQLite/D1，引擎扩展见下文。

使用 EAS 将 Expo 应用部署到生产环境——构建并提交到 iOS App Store、Google Play 商店和 TestFlight，配置 eas.json 的构建与提交配置文件，管理应用版本与构建号，发布商店元数据与 ASO，并通过 EAS Hosting 部署 Web 包和 API 路由。适用于准备生产构建、运行 eas build 或 eas submit、发布到 TestFlight、应用商店发布或灰度、递增版本号/构建号或设置 Expo 应用的商店列表元数据

在 React 前端构建与调试 pane 生命周期行为。在添加 pane 操作、布局行为、渲染更新或 pane 级交互时使用。

RedisInsight UI 的 React/Redux 前端开发模式：组件目录结构、styled-components、hooks、命名导出、barrel 文件、布局组件与主题用法。在编辑 redisinsight/ui/** 下任何文件、编写或修改 React 组件、Redux slice、styled-components、自定义 hook，或用户提到 UI、frontend、React、Redux、styled-components 时使用。

RedisInsight 使用 Jest 与 Testing Library 的单元/集成测试标准：测试结构、`renderComponent` 助手、用 faker 造测试数据、mock 模式，以及用 `waitFor` 取代固定等待。在编写或修改任何 `*.spec.ts` 或 `*.spec.tsx` 文件、新增组件或 slice 测试、调试不稳定测试，或用户提到 jest、testing library、faker、测试模式时使用。

在本地端到端调试 signals 管线。涵盖从 fixture 发出测试 signal、经 REST API 监控 Temporal 工作流、从对象存储读取沙箱代理日志、检查 Docker 沙箱容器，以及诊断常见故障（陈旧的 ClickHouse embeddings、agentsh 网络拒绝、不活动超时）。当 signal 未送达收件箱、signal-report-summary 工作流失败或沙箱任务运行超时时使用。

为 Airflow 实现全新语言 SDK 的指南（AIP-108）。当贡献者要为一种新编程语言添加支持——设计 Python coordinator、用目标语言实现线协议、编写 bundle 格式并组织 PR——时使用本技能。触发短语包括：“new language SDK”“new SDK”“add support for [language]”“implement coordinator for”“SubprocessCoordinator”“BaseCoordinator”“new runtime”“AFBNDL01”“supervisor schema”，或任何把新语言引入 Airflow executor 生态的内容。

搭建完整的 Next.js 项目，包含 TypeScript、Tailwind、shadcn/ui、TanStack Query 与主题支持。

在 Next.js 项目中搭建 Better Auth，支持邮箱 OTP 认证与 shadcn/ui 组件。

在 Next.js 项目中配置 Prisma ORM 与 PostgreSQL，包含 schema、迁移与种子数据。

Stock Indicators 的测试约定。用于测试命名（MethodName_StateUnderTest_ExpectedBehavior）、FluentAssertions 模式、精度要求和测试基类选择。

指导 PR 自动化与多智能体编排库的工作流。

在运行任何自动化循环之前必须先用。要求明确可观测的成功输出（PR、修复的测试、推送），拒绝只有预测的循环。

在新增自动化脚本时使用。必须有一个调用方（CI/cron/hook）；看门狗脚本还需要 launchd plist 模板与 deploy.sh 的安装步骤。

为高端网站打造 CSS Grid 编辑风排版布局系统。适用于不对称网格、杂志式版面、作品集索引、案例展示页、图片画廊、主视觉构图、专题叙事、产品证明版式、类瀑布流节奏，以及用更强的层级感取代千篇一律的卡片网格。

解释、优化、编写并记录 SQL 查询。当需要解释某个 SQL 查询、优化慢 SQL、把 SQL 转译成给非技术干系人看的通俗表达、依据自然语言描述写出查询或产出查询文档时使用。产出通俗解释、带注释的优化查询，或涵盖输出结构、假设与已知限制的数据字典。支持 PostgreSQL、MySQL、BigQuery、Snowflake 和标准 SQL。

精英级 UX/UI 与高级 GSAP 动效工程师。强制执行基于 Python 的真随机布局变化、严格的 AIDA 页面结构、宽幅编辑风格排版（禁止 6 行折行）、无缝隙 bento 网格、严格的 GSAP ScrollTrigger（钉住、堆叠、scrub 跟随）、内联微图与超大区块间距。

分析、校验并安全地修复 Ultiorganizer 的 CSS 改动。当 Codex 编辑或评审 cust/ 下的 CSS 文件、移动端样式、皮肤覆盖或共享样式表规则时使用；也用于检查样式/配色一致性，或判断重复选择器与工具类是否应当合并。对改动的 CSS 运行 Stylelint，除非用户要求更大范围的视觉重构，否则只做低风险修复。

在有多步骤任务的规格或需求、但尚未动代码时使用。

编写高质量的 Agent Skill（SKILL.md），让 AI 可靠地触发并执行得好——扎实的 frontmatter、带触发短语的精准描述、清晰的输出契约、质量检查与反模式。当被要求编写技能、创建 SKILL.md、改进技能、评审技能质量或向技能库贡献内容时使用。产出一份完整、能通过 SkillCheck 的 SKILL.md，并附关键决策的简短理由。

本 monorepo 强制的「每次改动都带测试」纪律。只要你在 apps/** 或 packages/** 下编写、更改、重构或删除任何代码——函数、类、路由、组件、hook、schema、迁移、配置或 bug 修复——以及触及 tests/ 下任何内容、添加覆盖、运行套件、配置 CI，或被问及某门控为何失败时加载。定义每次改动需要的测试类型（单元/集成/契约/API/e2e/无障碍/视觉/性能/安全）、确切的命令与约定（就近放置的 bun:test、工厂、确定性、无注释），以及执行该纪律的 CI 门控。贯彻这条规则：每种可能的改动都必须在同一次改动中随附测试。

打造独特、生产级、高设计质量的前端界面。当用户要求构建 Web 组件、页面、产物、海报或应用（示例包括网站、落地页、仪表盘、React 组件、HTML/CSS 布局，或对任意 Web UI 做样式美化）时使用此技能。生成富有创意、打磨精细的代码与 UI 设计，避免千篇一律的 AI 审美。

构建高质量 MCP（Model Context Protocol）服务器与工具的指南：MCP 是什么、如何面向 agent 易用性设计 tools/resources/prompts，以及用 TypeScript 或 Python 实现服务器。当你需要 MCP 最佳实践、服务器架构模式或分步构建工作流（含语言偏好）时使用。

当需要检查、查询、维护或谨慎修改 MoviePilot 数据库时使用本技能。本技能使用随包提供的 scripts/mp-db.py 助手，它会自行读取 MoviePilot 本地设置，绝不需要在 agent 提示中提供数据库密码或完整 PostgreSQL DSN。适用场景包括数据统计、计数、聚合、检查或修复记录、清理请求，以及诸如“有多少下载”“显示站点统计”“删除旧记录”“这个订阅为什么卡住”之类的问题。

通过 mcporter CLI 发现并调用 MCP 服务器工具。当协调者通知你有新的 MCP 工具，或需要调用外部 API 时使用。包含为新 MCP 服务器生成技能文档的工作流。

React/TypeScript 前端开发规则，涵盖类型安全、组件设计、状态管理与错误处理。在实现 React 组件、TypeScript 代码或前端功能时使用。

对网站或 Web 应用做 QA 测试并给出 1-5 分的质量评分（5 分为几近完美，1 分为已崩溃）并附证据。当用户想测试、QA、评估、打分或“看看这个站怎么样”某个站点、页面、流程或应用时使用，包括本地开发服务器（如“qa test localhost:5173”“checkout 能跑通吗”“给落地页打个分”）。驱动真实的 Browser Use 云端浏览器，并自动穿透本地 localhost。

收集创建或更新 bigbud 自动化所需的细节信息，并输出机器可读的 automation request block。

对照 QuestDB 编码标准审阅 GitHub pull request。

跨域名、社交媒体、移动应用与暗网渠道监测品牌仿冒攻击，检测针对组织的钓鱼活动、仿冒站点与未授权品牌使用。

通过行为分析、权限滥用检测、网络流量监控与动态插桩，检测并分析移动应用中的恶意行为。适用于分析可疑移动应用的数据外泄、C2 通信、凭据窃取、短信拦截或其他恶意软件迹象。对涉及移动恶意软件分析、应用行为监控、木马检测或可疑应用调查的请求自动激活。

审计 Kubernetes 集群 RBAC 配置，用 kubectl、rbac-tool、KubiScan 与 Kubeaudit 识别权限过大的角色、通配符权限、危险的 ClusterRoleBinding、service account 滥用与提权路径。

在文件系统中部署金丝雀文件（蜜标）以实时检测勒索软件的加密活动。通过文件完整性监控或操作系统级看门狗监视精心放置的诱饵文档，在勒索软件修改或加密时触发告警。适用于涉及勒索软件金丝雀部署、蜜罐文件设置、基于欺骗的勒索软件检测，或加密的文件完整性监控等请求。

借助 Python 的 watchdog 库做实时文件系统事件检测，在关键目录中部署并监控勒索软件诱饵（canary）文件。放置按精心命名、模仿高价值目标（财务记录、凭据、数据库导出）的诱饵文件，位置选在勒索软件通常会优先枚举的目录。一旦监控到对诱饵文件的读取、修改、重命名或删除操作，就通过邮件、Slack webhook 或 syslog 立即告警，在全面加密开始之前给出早期预警。

测试并验证勒索软件恢复流程，包括备份还原操作、RTO/RPO 目标核验、恢复顺序编排与干净还原校验，确保组织具备抵御破坏性勒索攻击的能力。

添加或修改 Visdom Python client 方法，并正确同步 server/frontend 行为与类型标注更新。