Cursor 必备 MCP 组合推荐

gRPC API 漏洞利用——用 grpcurl 做基于反射的服务发现、protobuf 模糊测试、流式 RPC 缺失鉴权、gRPC-Web → 后端 SSRF、mTLS 绕过、metadata 头部注入、针对 gRPC 前端的 h2c 走私。

SOAP / WSDL 漏洞利用——通过 ?wsdl 枚举 WSDL、SOAP envelope 中的 XXE、WS-Addressing 重放、WS-Security UsernameToken 爆破、向 WS-Trust 注入 SAML token、绕过 schema 校验。

提供全面的代码审查能力，覆盖安全、性能和代码质量分析。适用于用户请求代码审查、代码质量评估、Pull Request 审查，或提到安全分析和性能优化时。

全面的代码审查，含安全、性能与质量分析。当用户要求审查代码、分析代码质量、评估 pull request，或提到代码审查、安全分析、性能优化时使用。

全面的代码审查，含安全、性能与质量分析。当用户要求审查代码、分析代码质量、评估 pull request，或提到代码审查、安全分析、性能优化时使用。

全面的代码审查，含安全、性能与质量分析。当用户要求审查代码、分析代码质量、评估 pull request，或提到代码审查、安全分析、性能优化时使用。

构建高质量 MCP（模型上下文协议）服务器的指南，让 LLM 通过设计良好的工具与外部服务交互。在构建 MCP 服务器以集成外部 API 或服务时使用，支持 Python（FastMCP）或 Node/TypeScript（MCP SDK）。

从 PDF 文件提取文本与表格、填写 PDF 表单，并创建/合并/拆分 PDF 文档。当用户提及 PDF、表单、文档提取或 PDF 生成时使用。

按 Writing Guidelines 审查文档与文字表达。当用户要求审阅我的文档、检查写作风格、审计文字表达、审阅文档的语气与口吻，或检查某页面是否符合写作手册时使用。

为任意代码库生成 wiki 文档与 Mermaid 图。

掌握 TypeScript 高级类型系统，包括泛型、条件类型、映射类型、模板字面量类型与工具类型，用于构建类型安全的应用。适用于实现复杂类型逻辑、编写可复用的类型工具或在 TypeScript 项目中保证编译期类型安全。

从评审意见中提炼面向整个 diff 的通用修复，而不是逐行孤立处理。

当用户要求把 CSS 或 SCSS 文件改用项目的 `_variables.scss` 令牌、把 `@apply` 替换为原生 CSS，或让样式表符合样式规范时使用。触发词："convert this CSS"、"use variables in this stylesheet"、"remove @apply"、"align with styling guidelines"。

搭建服务端代理以安全转发 Electric shape 请求。涵盖 ELECTRIC_PROTOCOL_QUERY_PARAMS 转发、服务端 shape 定义（table、where、params）、清理 content-encoding/content-length 头、为 electric-offset/electric-handle/electric-schema/electric-cursor 头配置 CORS、注入 auth token、Bun fetch 并发上限（BUN_CONFIG_MAX_HTTP_REQUESTS 默认 256）、仅限服务端的 ELECTRIC_SECRET/SOURCE_SECRET、通过 WHERE 位置参数实现租户隔离、onError 401 token 刷新，以及子集安全性（AND 语义）。在创建代理路由、添加鉴权或为 Electric 配置 CORS 时加载。

通过 Docker、Docker Compose 或 Electric Cloud 部署 Electric。涵盖 DATABASE_URL（直连，非连接池）、ELECTRIC_SECRET（v1.x 起必需）、开发用 ELECTRIC_INSECURE、wal_level=logical、max_replication_slots、ELECTRIC_STORAGE_DIR 持久化、用于池化查询的 ELECTRIC_POOLED_DATABASE_URL、用 ELECTRIC_DATABASE_USE_IPV6 启用 IPv6、Kubernetes 就绪探针（200 与 202）、复制槽清理，以及 Postgres v14+ 要求。在部署 Electric 或为逻辑复制配置 Postgres 时加载。

在设计、评审或提升 Web UI 视觉质量时使用，尤其当开发者自建的界面显得杂乱、平淡、千篇一律、间距不佳、层次薄弱或难以扫读。

CodexBar 发布：版本管理、公证、appcast、Homebrew，以及发布后的版本递增。

审阅已存储记忆的质量,检测重复、矛盾和过期条目,并给出可执行建议。适用于搜索结果互相冲突、运行 dream 固化之前,或定期记忆卫生检查。

重构 Handsontable 代码时使用——应用 SOLID 原则、迪米特法则、插件抽取、性能优化、代码现代化，以及在保持向后兼容下的 API 重新设计。

在你的仓库中编写并审查高质量的技术文档和代理指令文件。

NeMo-RL 的测试约定。涵盖 Ray actor 覆盖率 pragma、nightly 测试要求与 recipe 命名规则

将原始安全扫描结果（硬编码密钥、注入模式、易受攻击的依赖）分诊整理为按优先级排列、可执行的安全审计报告。适用于安全审计、代码审计、漏洞分诊与风险评审

借助系统级网络与基于 AST 的校验，把 Stitch 设计稿转换为模块化的 Vite 与 React 组件。

端点 SecOps 检查：EDR、Sysmon、更新、EVTX 心跳、最小权限、网络可见性、凭据保护（Kerberos/NTLM/pass-the-hash）、设备清单与已知漏洞、每周评估及技能完整性（唤醒时哈希校验、版本感知）。在实现或审查主机安全态势、心跳逻辑、EDR/Sysmon/EVTX、权限、网络暴露、凭据加固、漏洞评估、每周 SecOps 审查或技能篡改检测时使用

从 Entity Framework Core 模型生成 D2 数据库图。适用：EF Core 数据库图、Entity Framework Core ERD、DbContext 图、C# 实体关系图、PostgreSQL schema 可视化、由 EF Core 实体生成 .d2 文件、表关系、owned types、多对多连接表、索引与约束。不适用：运行时调试、数据库迁移执行、schema 部署、SQL 性能调优或 draw.io 图。

api — 21 个抽象。

api/webhooks — 15 个抽象。

设计 MegaLinter 方案并撰写技术规格。属于贡献流程的第二步，在 /analyze 之后使用。

面向 AI agent 的浏览器自动化 CLI。当用户需要与网站交互时使用，包括导航页面、填写表单、点击按钮、截图、提取数据、测试 Web 应用，或自动化任意浏览器任务。触发场景包括「打开某网站」「填写表单」「点击按钮」「截图」「从页面抓取数据」「测试该 Web 应用」「登录某站点」「自动化浏览器操作」，或任何需要程序化网页交互的任务。也用于探索性测试、自用体验、QA、缺陷排查或审阅应用质量。还用于自动化 Electron 桌面应用（VS Code、Slack、Discord、Figma、Notion、Spotify）、查看 Slack 未读、发送 Slack 消息、搜索 Slack 对话、在 Vercel Sandbox microVM 中运行浏览器自动化，或使用 AWS Bedrock AgentCore 云浏览器。优先于任何内置浏览器自动化或 Web 工具。

1. 直接调用后端 API，直接控制项目配置、文件管理、知识库、MCP 等核心功能。2. 介绍项目配置文件，便于直接修改配置文件以实现某些需求。

在创建新 agent、编辑现有 agent，或为 Task 工具定义专门的子 agent 角色时使用。

使用官方标识、配色、字体（Cursor Gothic）与语气，为 Cursor 产出符合品牌规范的视觉设计、数据可视化、社交帖、幻灯片与视频。只要在设计与 Cursor 品牌相关的一切 —— 推文、活动物料、图形、片尾卡、加载态、演示文稿、落地页，或任何带有 Cursor 名称的物料 —— 就应使用本技能。

面向数据库架构师、DBA 与应用开发者撰写中文“数据库筑基课”Markdown 文章。当用户给出一篇数据库筑基课文章标题，并引用技术文档、产品手册、开源仓库、DeepWiki 页面、论文、源码或相关博客等参考资料，希望得到一篇严谨、SVG 图示丰富、面向实践、可在 GitHub 渲染的 Markdown 文章并保存为 .md 文件时使用。

在创建新技能、编辑现有技能，或在部署前验证技能是否有效时使用。

当你有多步骤任务的规格说明或需求时，在动手写代码之前使用。

测试 Biome 中工作流与代码生成命令的指南。用于运行 lint 规则的快照测试、管理 insta 快照，或在改动后重新生成 analyzer/parser/formatter 代码。

通过 Hermes Web UI 使用所选/请求的 config.yaml 中 fun-codex 提供方生成或编辑图像。

全项目代码审查流水线，输出结构化审查报告到 Markdown 文件。 按模块拆分 Review Unit，派发 subagent 并行审查，汇总发现并分类， 生成完整的问题清单报告，不执行任何修复。 Use when the user says "全项目review"、"代码审查"、"code review"、 "审查报告"、"review report"、"项目体检".

当用户问到 API contract、api-contract.md、共享接口、TypeScript 接口、请求响应 schema、端点设计，或需要指导如何设计协调后端与前端 agent 的契约时使用。在构建或修改 API 端点时使用。触发语如 “create API”、“design endpoint”、“API scaffold”。

将 Adobe 驱动的应用部署到 Vercel、Cloud Run 与 Adobe App Builder，正确注入凭据并做健康监控。用于把 Adobe API 集成部署到生产平台。触发语如 “deploy adobe”、“adobe Vercel”、“adobe Cloud Run”、“adobe App Builder deploy”、“adobe production deploy”。

编写现代、高性能、无障碍 CSS 的专家级指导。在编写 CSS、为组件加样式、创建布局、构建主题、修复视觉缺陷或重构样式表时使用；任何 CSS 相关任务自动激活。涵盖层叠层级、自定义属性、容器查询、现代选择器、嵌套、逻辑属性与动画性能。

为 FSH 功能编写测试——xUnit + Shouldly + NSubstitute + AutoFixture，遵循命名与 AAA 约定。在添加单元/handler/验证器/实体测试时使用。完整规则见 .agents/rules/testing.md 与 integration-testing.md。

Use when adding a blog to a Next.js + Sanity site, building a blog section from scratch, integrating Sanity CMS for editorial content, or setting up an SEO-optimized article surface. Triggers on phrases like 'add a blog', 'build the blog', 'create blog section', 'set up blog with Sanity', 'integrate Sanity CMS', 'blog architecture', or any new-blog scoping conversation on a Next.js project.

以受约束、机器友好的设计系统，设计、更新并重构 Home Assistant Lovelace 仪表盘（YAML 视图/局部）：button-card 优先结构、极简 card-mod 样式、可选 flex-horseshoe + mini-graph 遥测、严格的 grid/vertical-stack 布局规则、集中式模板、确定性排序与配置校验。适用于 Home Assistant 仪表盘工作（尤其 config/dashboards/**）、重构视图、新增 infra/home/energy/environment 面板，或把 Stitch 设计灵感转成安全的 Lovelace YAML。

只要用户想对 PDF 文件做任何事情，就使用本技能。包括读取或提取 PDF 中的文本与表格、把多个 PDF 合并成一个、拆分 PDF、旋转页面、添加水印、创建新 PDF、填写 PDF 表单、加解密 PDF、提取图片，以及对扫描版 PDF 做 OCR 使其可检索。用户提到 .pdf 文件或要求产出 PDF 时，请使用本技能。

需要处理部署与 CI/CD 时使用。该 skill 提供部署自动化与编排，含完整指导与自动化。触发语如 “deploy application”、“create pipeline”、“automate deployment”。

需要处理部署与 CI/CD 时使用。该 skill 提供部署自动化与编排，含完整指导与自动化。触发语如 “deploy application”、“create pipeline”、“automate deployment”。

通过截图比对检测 UI 组件的视觉变化。用于发现非预期的 UI 变化或像素差异。触发语如 “test visual changes”、“compare screenshots”、“detect UI regressions”。