Cursor 必备 MCP 组合推荐

检查、修补、验证、发布或确认 OpenClaw 的 GHSA 安全通告与私有 fork 状态。

以已发布标签和信任模型证明为依据，分诊 OpenClaw 安全通告、草稿和 GHSA 报告。

面向 TypeScript、JavaScript、Python、Go、Swift、Kotlin、C#、.NET、Java、C、C++、Rust、Ruby、PHP 及 Dart/Flutter 的代码审查自动化。分析 PR 的复杂度与风险，检查 SOLID 违规与代码异味等质量问题，生成审查报告。用于审阅 Pull Request、分析代码质量、识别问题、生成审查清单。

管理落地页的 CSS 设计体系模板 —— 查看、分析或创建组件库。

掌握 TypeScript 高级类型系统，包括泛型、条件类型、映射类型、模板字面量类型与工具类型，构建类型安全的应用。在实现复杂类型逻辑、创建可复用类型工具或确保 TypeScript 项目的编译期类型安全时使用。

TypeScript 开发规范，与 ESLint 配置保持一致。包含类型定义、数组语法、类型注解等规范。

基于真实 joplin 终端后端的 Joplin 工作流命令行界面。

在编写或审查任何数据库迁移（db/migrate、db/post_migrate、插件迁移）之前必须先加载本技能。

生产环境部署原则与决策。安全工作流、回滚策略与验证。教导思维方式而非脚本。

对 actualbudget/actual 仓库中的拉取请求做全面审查。依据仓库的 CODE_REVIEW_GUIDELINES.md 与 AGENTS.md 进行离线代码审查（绝不发布任何 GitHub 评论），然后用 playwright-cli 在浏览器中验证该改动。缺陷类 PR 先在 edge.actualbudget.org 复现问题，再到 Netlify 预览环境验证修复；特性与增强类 PR 则在预览环境跑一遍改动，并截取带标注的截图突出新增功能。只要用户要求审查、测试、校验、把关、 Sanity 检查、QA 或以其他方式查看 Actual Budget 仓库中的 PR 与拉取请求，就使用本技能。

安排提醒与周期性重复任务。

使用 React 组件构建 HTML 邮件模板、为应用添加可视化邮件编辑器、将邮件渲染为 HTML，或用 Resend 发送邮件时使用。涵盖欢迎邮件、密码重置、通知、订单确认、新闻简报、交易型邮件，以及可嵌入的邮件编辑器组件。

以纯 .sql 文件配合事务日志管理数据库迁移。当被问到 sql-migrate、数据库迁移，或如何搭建迁移工具时使用。

构建和修改 Codename One 跨平台移动应用（Java 17、Maven、ParparVM/Android/iOS/JavaScript）。当项目包含 common/codenameone_settings.properties、依赖 com.codenameone:codenameone-core、编辑 common/src/main/css/ 下的 CSS、调用 cn1:run/cn1:test/cn1:build、引用 com.codename1.ui.*/com.codename1.testing.*，或用户要求构建 UI、编写界面测试、生成截图、与 Swing/HTML/Android 对比时使用。

构建和修改 Codename One 跨平台移动应用（Java 17、Maven、ParparVM/Android/iOS/JavaScript）。当项目包含 common/codenameone_settings.properties、依赖 com.codenameone:codenameone-core、编辑 common/src/main/css/ 下的 CSS、调用 cn1:run/cn1:test/cn1:build、引用 com.codename1.ui.*/com.codename1.testing.*，或用户要求构建 UI、编写界面测试、生成截图、与 Swing/HTML 对比时使用。

只要用户想对 PDF 文件做任何事情，就使用本技能。包括读取或提取 PDF 中的文本与表格、把多个 PDF 合并成一个、拆分 PDF、旋转页面、添加水印、创建新 PDF、填写 PDF 表单、加解密 PDF、提取图片，以及对扫描版 PDF 做 OCR 使其可检索。用户提到 .pdf 文件或要求产出 PDF 时，请使用本技能。

在本地构建并推送 MockServer 的 Maven CI Docker 镜像。涵盖企业 CA 证书配置、架构选择（amd64 与 arm64）、企业 TLS 代理下的 buildx 坑点，以及 Docker Hub 鉴权。当用户说「构建 docker 镜像」「推送 maven 镜像」「重建 CI 镜像」「docker build」「推送到 Docker Hub」，或需要在 CI 之外手动构建/推送 mockserver/mockserver:maven 镜像时使用。

审阅已存储记忆的质量,检测重复、矛盾和过期条目,并给出可执行建议。适用于搜索结果互相冲突、运行 dream 固化之前,或定期记忆卫生检查。

在为本地开发编写或优化 Dockerfile、docker-compose.yml，调试与本地表现不一致的容器，或缩减 Python、Node.js 应用镜像体积时使用。不适用于 Kubernetes 资源或 Helm——那类任务请用 containerization。

Next.js 16 App Router 模式。触发时机：在 Next.js App Router（app/）中工作时——Server Components 与 Client Components、Server Actions、Route Handlers、proxy.ts、缓存/重新验证、Cache Components，以及流式渲染/Suspense。

把 SwiftUI 视图文件重构为稳定、可测试的结构。在拆分大视图、收紧数据流或清理 Observation 归属时使用。

把 macOS SwiftUI 视图与 scene 重构为稳定结构。在拆分大视图、收紧 scene 状态或收窄 AppKit 逃生口时使用。

面向代码变更的安全审计。当审查鉴权、加密、输入处理时由「/security-review」触发，或当用户明确请求安全审计时触发。

编写 Aspire 部署端到端测试的指南。在被要求创建、修改或调试部署到 Azure 的 E2E 测试时使用。

针对 .NET API 表面设计准则评审 PR。分析 api/*.cs 文件 diff，应用 .NET 框架设计指南与 Aspire 约定的评审规则，并通过 git blame 将每项 API 发现归因到引入者。在被要求评审 API 表面变更时使用。

源自 Docker 官方文档的 Dockerfile 优化指南。在编写、评审或重构 Dockerfile 时使用，确保构建时长、镜像体积、安全性与健壮性均达到最优。触发场景：Dockerfile 创建、Docker 镜像构建、容器优化、多阶段构建、构建缓存或 Docker 安全加固。

编写会写代码、改代码、评审或重构代码的智能体的行动手册。当用户希望智能体编写脚本、生成代码、评审拉取请求、重构代码库、修 bug、实现特性、写测试，或处理 Python、TypeScript、JavaScript、Go、Rust、SQL、shell 等语言时使用。

面向 Claude Code、Codex、Gemini CLI、Cursor、OpenClaw 的 Terraform 基础设施即代码 agent 技能与插件。涵盖模块设计模式、状态管理策略、provider 配置、安全加固、基于 Sentinel/OPA 的策略即代码，以及 CI/CD 的 plan/apply 工作流。适用于用户要设计 Terraform 模块、管理 state 后端、审查 Terraform 安全、实施多区域部署或遵循 IaC 最佳实践。

依据 OWASP MASVS / MASTG 审计 iOS 与 Android 移动应用——不安全存储、弱加密、证书锁定、Deeplink、IPC、越狱/Root 检测、防逆向等。当用户提到移动安全、iOS/Android 安全、移动审计、移动渗透、MASVS、MASTG、证书锁定、越狱/Root 检测、Deeplink、URL Scheme、App Transport Security、钥匙串、keystore、移动逆向，或需要评审移动应用时使用。

光标拖尾光迹、色散光线与方向耀光，用于视频片头的逐词文字揭示效果。

在运行验证或测试步骤前安装 Python 依赖。根据 agent 是否从源码构建 OpenVINO 选择正确的路径。

为 Unreal Engine 项目编写并运行自动化测试——简单/复杂自动化测试（IMPLEMENT_SIMPLE_AUTOMATION_TEST、IMPLEMENT_COMPLEX_AUTOMATION_TEST）、BDD 风格 Spec 测试（DEFINE_SPEC、BEGIN_DEFINE_SPEC、Describe/It/BeforeEach/AfterEach）、关卡内功能测试（AFunctionalTest）、底层测试（基于 Catch2 的 LLT）、latent/异步命令、EAutomationTestFlags、FAutomationTestBase 断言 API（TestTrue/TestEqual/TestNotNull/AddError），以及从编辑器、CLI 或 CI 运行测试。适用于为玩法逻辑或系统编写单元/集成测试、搭建无头 CI 测试运行、校验数据/内容或防止回归。

在 frontend-forge 中操作 FrontendExtension（FE）资源：创建、更新、重建、检视包工件、下载包、发布、取消发布、删除，以及调试包/发布控制器行为。当用户提及 FE 运维、FrontendExtension 生命周期、扩展包/下载/发布/取消发布、artifact ConfigMap、包 Job、publisher Job、发布目标 ConfigMap 或 Secret、rebuild-token、包状态/发布状态标签，或在 Kubernetes 集群中排查 FE 状态时使用。

测试数据可视化与仪表盘。当用户需要图表或示意图的测试策略、截图或图像 diff 测试、视觉回归、图表的 mock/合成数据、组件或单元测试、E2E 仪表盘 QA、交互式类 UML 图验证、滚动叙事验证、导出验证，或避免脆弱过度测试的指导时使用。

用 TypeScript 构建带类型的可视化。当用户需要 TypeScript 可视化代码、类型化数据模型、浏览器可视化组件、类 UML 图模型、交互式图或架构图契约、滚动驱动场景契约、库选型指导，或一套超越 React/Next 特定问题的可维护可视化架构时使用。

用于创建、编辑、提取、OCR、填充表单与转换 PDF 文档。

按 CLAUDE.md 中项目标准化的流程审查 Ansible PR。

为 Next.js API 撰写参考文档：函数、组件、文件约定、指令与配置选项。当用户要求撰写/创建/起草 API 参考页面，或涉及 docs/01-app/03-api-reference/ 路径、以及“API reference”“props”“parameters”“returns”“signature”等关键词时自动激活。信息来源为 Next.js 源码、既有 API 参考页面或用户提供的规格。输出为带 YAML frontmatter、用法示例、参考条目、行为说明和示例的 markdown（.mdx）API 参考页面。

通过针对数据仓库编写 SQL 查询、验证并呈现结果，回答定量业务问题。当用户问「有多少……」「……的趋势是什么」「对比 X 和 Y 在……」「我们的 Top N……」，或任何可归结为对表格数据查询的问题时使用。产出一张小结果表及背后的查询语句。

从正确性、模式合规、测试、无障碍与安全性审阅 PR。给出可合并就绪的置信度评分。

在 OpenClaw 代理创建 PR/issue 的工作流中，为 GitHub PR 或 issue 正文添加经脱敏处理的代理会话记录小节。

把杂乱的用研笔记、访谈、客服工单、问卷与产品语境整理为证据支撑的决策室：单一 HTML 制品，含证据台账、主题地图、置信度热力图、机会矩阵、决策备忘录与实验队列。当团队需要从定性信号推进到产品或设计决策、且不臆造确定性时使用。

创建高质量 MCP（Model Context Protocol）服务器的指南，通过设计良好的工具让 LLM 与外部服务交互。当需要构建 MCP 服务器以集成外部 API 或服务时使用，支持 Python（FastMCP）或 Node/TypeScript（MCP SDK）。

当用户想对 PDF 文件做任何处理时使用此技能。包括读取或提取 PDF 中的文本/表格、合并多个 PDF 为一个、拆分 PDF、旋转页面、添加水印、创建新 PDF、填写 PDF 表单、加密/解密 PDF、提取图片，以及对扫描版 PDF 做 OCR 使其可搜索。只要用户提到 .pdf 文件或要求生成 PDF，就使用此技能。

Docker / containerd socket 被挂载进容器 → 可导致宿主机 RCE。常见于 CI runner、GitOps 控制器（ArgoCD、Flux）与「Docker-in-Docker」环境。可用一条命令逃逸：`docker run --rm --privileged -v /:/host alpine chroot /host`。

现代 API 类目——gRPC、SOAP/WSDL、WebSocket、Server-Sent Events。这是一个路由技能：根据响应的 Content-Type 或线路格式识别 API 协议，然后加载匹配的子技能。

Server-Sent Events（SSE / EventSource）漏洞利用——滥用 origin 实现跨站流式数据外泄、通过 SSE 消息向 LLM 客户端注入提示、retry-after 令牌泄露、拆分事件片段绕过 content-type 嗅探。

WebSocket 漏洞利用——origin 绕过（CSWSH 跨站 WebSocket 劫持）、缺少逐消息鉴权、消息类型混淆、消息洪水 DoS、ws→wss 降级、WS 帧层中隐藏的 RPC 路由。