Cursor 必备 MCP 组合推荐

元技能：分析 Trail of Bits Testing Handbook（appsec.guide），并为安全测试工具与技术生成 Claude Code 技能。在基于手册内容创建新技能时使用。

面向 ECC 的、以证据为先的自动化清单与重叠审计流程。当用户希望在动手修复之前先弄清哪些任务、钩子、连接器、MCP 服务器或包装层是在运行的、已损坏的、冗余的还是缺失的使用。

使用这个部署技能来验证共享技能能否在 Playwright 启动期间正常加载。

面向 `@open-mercato/ui` 的后端 UI 设计指南在 Codex 中的内部副本。常规后端页面、CRUD、表格与表单工作请优先使用主技能 `om-backend-ui-design`

为 TypeScript/Node.js 应用提供安全审查能力，针对 XSS、注入、CSRF、JWT/OAuth2 缺陷、依赖 CVE 和密钥泄露校验代码。适用于安全审计、部署前检查、评审认证/授权实现，或确保 Express、NestJS、Next.js 符合 OWASP 要求。触发词："security review"、"check for security issues"、"TypeScript security audit"。

使用并行的角色化 persona agent 审阅需求或计划文档，暴露与角色相关的问题。当存在需求或计划文档且用户希望改进它时使用。

维护 Kubebuilder Helm 插件（helm/v2-alpha，位于 pkg/plugins/optional/helm/v2alpha/）的指南。在处理 Helm 插件代码、模板或 chart 生成时使用。

设计跨国问卷实验：统计功效、等价性检验与本地化。

设计问卷工具：题项、量表、作答流程与社会期望偏差。

设计 conjoint（联合）实验：属性设定、统计功效与 AMCE/AMIE 估计。

在基于 Huma 的 /api/v2 API 上新增或修改资源时使用（新端点、迁移 v1 资源、编辑 pkg/routes/api/v2/）。涵盖按操作的 Huma handler、共享信封、错误/鉴权桥接、REST 动词约定，以及哪些部分是自动处理的。

指导如何安全使用外部 MCP 工具。

凡任务需要提交或调查 git 历史时必须使用。涵盖原子提交、暂存、提交信息风格、rebase、squash、fixup/autosquash、blame、bisect、reflog、git log -S/-G,以及"这是谁写的""何时加入的"之类的问题。普通代码编辑不要使用,除非用户要求处理 git。

根据风格描述从内置设计系统库中选取最匹配的设计系统，提供 DESIGN.md 规范供后续设计工作使用。

根据风格描述从内置设计系统库中选取最匹配的设计系统，提供 DESIGN.md 规范供后续设计工作使用。

通过从 mongodb-js/mongodb-mcp-server 获取对应版本发布内容并为文档格式化，起草 MongoDB MCP Server 新版本发布说明。在需要起草或创建 MCP Server 发布说明时使用。

使用 MITRE Engage 框架规划、执行并度量对手参与行动，使所部署的欺骗由策略驱动而非临时为之。涵盖 Engage 矩阵（Prepare、Expose、Affect、Elicit、Understand）、10 步操作流程、将参与 Activity 映射到其暴露的 ATT&CK 技术，以及定义可度量的目标与行动目的。适用于团队已有 honeypot、蜜标或 canary token 却缺乏统筹策略、管理层询问「是否及如何应对对手」、构建欺骗/拒止体系、撰写对手参与行动方案，或决定针对特定威胁行为者部署哪些欺骗 Activity 时。

在 AWS、Azure 与 GCP 上部署基于诱饵（蜜罐）资源的云原生欺骗，这些资源的唯一目的就是在攻击者触碰的瞬间生成高保真告警：金丝雀 IAM 访问密钥、无权限的诱饵用户/角色/服务主体、蜜罐对象存储桶，以及 Secrets Manager / Key Vault / Secret Manager 中的诱饵密钥。通过 CloudTrail + EventBridge、Azure Sentinel 蜜标观察列表 + Defender、GCP Cloud Audit Logs 接入检测，使对诱饵的任何使用都以近乎零误报路由到 SOC。适用于保护云账户与数据存储、组织仅有本地 honeypot 需要云端覆盖、播撒假 AWS 密钥以捕获凭据窃取与代码泄露，或检测云端侦察与横向移动时。

通过 cursor-ide-browser（Cursor 浏览器标签页）检查 UI；若内置浏览器 MCP 不可用则回退到 user-playwright。适用于 @Browser、打开标签页、布局检查、localhost——或用户明确点名 Playwright 时。

将 MCP Server 的工具列表转换为 Skill 格式的结构化 Markdown 文档

PDF 文档解析。自动区分文字型 PDF 与扫描型 PDF，覆盖：文本/表格提取、多页全量扫描、嵌入图表 caption、单位感知数值计算。

为你的目标工具（Claude、n8n 或 Zapier）量身定制工作流的分步自动化说明。最适合紧跟 discover-patterns 或 process-analyst 之后运行。

Cursor Cloud Agents API，用于启动与管理后台编程智能体。当用户提及 "Cursor"、"Cursor agents"、"Cursor background agents"、"cloud agents"、"cursor.com"，或希望在某个 GitHub 仓库上启动、监控、跟进或取消自主编码智能体时使用。

SQL 注入作战手册。当输入抵达 SQL 查询、认证逻辑、排序、过滤、报表，或数据库特有的盲注与带外执行路径时使用

在 TypeScript/JavaScript 代码库中检测、建议并评估 GoF 设计模式。适用于重构代码、应用单例/工厂/观察者/策略模式、评估模式使用质量，或为 React、Angular、NestJS、Vue 寻找框架原生替代方案。

分析代码中的 SOLID 原则违规，并给出针对性的改进建议。

聚焦 OWASP Top 10 漏洞的快速安全评估。

进行全面安全审计，并给出量化评分的安全态势评估。

在 .cursor/rules/*.mdc 中编写有效的 Cursor 规则——YAML frontmatter（description、globs、alwaysApply）、四种规则类型、限定范围的 QA 规则、子代理，以及真正能引导模型的结构。

Team Mode 的安全研究 skill。编排 3 名漏洞猎手与 2 名 PoC 工程师并行审计代码库，验证可利用性、归类根因，并按真实可利用性校准严重级别。用于安全评审、漏洞研究、可利用性审计、发布前安全检查、威胁模型验证以及 /security-research。触发词：security-research、security research、security review、vulnerability audit、exploitability audit、보안 리뷰、취약점 감사。

Home Assistant 的自动化 YAML 模式、触发器、条件、动作与最佳实践。

纯 CSS 动画专家知识——使用 CSS keyframes、transition 与现代 CSS 特性实现轻量、高性能的动画，无需 JavaScript 依赖。

提取文本、创建 PDF 并处理表单。适用于新闻稿、品牌单页和可打印设计交付物。

整洁、地道 Python 的编码约定。只要读取、编辑或编写 Python 源文件就加载本技能。

当用户希望使用 cursor-vip 在 Cursor IDE 中享受 VIP 功能时使用本技能。

当用户希望使用 cursor-free-everyday 实现完全免费、自动获取新账号、一键重置新额度、解决机器码问题、自动保持满额度时使用本技能。

更新一个或多个 pull request 的标题与正文。

EF Core 测试基础设施的实现细节。在变更测试 fixture、SQL 基线断言、测试辅助工具、测试类层级结构，或新增测试时使用。

所有 MCP 服务器工作的**强制要求**——mcp-use 框架最佳实践与模式。在任何 MCP 服务器工作前先阅读本技能，包括：创建新 MCP 服务器；修改既有 MCP 服务器（添加/更新 tools、resources、prompts、widgets）；调试 MCP 服务器问题或错误；审查 MCP 服务器代码的质量、安全与性能；回答 MCP 开发或 mcp-use 模式的问题；对 server.tool()、server.resource()、server.prompt() 或 widgets 做任何修改。本技能包含关键架构决策、安全模式与常见陷阱。实现 MCP 功能前务必先查阅相关参考文件。

Langfuse 仓库的 Git、GitHub、提交、分支、拉取请求、Issue 搜索、发布与生产晋级流程。在暂存、提交、推送、开 PR、搜索 GitHub Issue 或修改发布/晋级行为时使用。

按照 Google TypeScript 风格指南审查 TypeScript 代码。

确保正确的 Next.js App Router 架构、渲染策略与数据获取。只要在 /app 下工作就使用——路由、布局、服务端/客户端组件边界、数据获取、Suspense 与 Server Actions。默认使用 Server Components，仅在需要交互时添加 'use client'。不适用于 Pages Router（/pages）。

审查代码变更并给出建设性反馈。需要一致性审查行为与输出格式时应使用。可用于一般代码审查，不限于 GitHub pull request。

将应用与网站部署到 Vercel。当用户提出部署请求时使用，如“deploy my app”“deploy and give me the link”“push this live”或“create a preview deployment”。

你是一名 Python 项目架构专家，专注于为生产就绪的 Python 应用搭建脚手架。生成使用现代工具链（uv、FastAPI、Django）并带类型标注的完整项目结构（python-development-python-scaffold 的别名）。

在处理 react-native-skills 相关任务或工作流时使用。

设计并构建有原生感的 macOS 应用 UI。当用户要做桌面应用、macOS 应用、Mac 风格界面、Apple 风格 UI、系统工具，或任何应像原生 Mac 应用的东西时使用。用户提到「原生感」「桌面应用设计」「Apple 设计模式」「侧边栏布局」「红绿灯按钮」，或想构建看起来属于 macOS 的工具/实用程序时也触发。本技能涵盖布局、组合、交互模式、动画、亮/暗色模式，以及让应用显得出自 Apple 之手的所有细节。

在 PixiJS v8 画布上叠加 HTML 元素时使用。覆盖 DOMContainer 的 element、anchor 与场景图驱动的 CSS transform、pixi.js/dom 副作用导入、DOMPipe 注册、可见性同步以及 pointer-events 处理。触发词：DOMContainer、pixi.js/dom、DOMPipe、HTML overlay、input on canvas、iframe overlay、DOMContainerOptions、element、anchor、constructor options。