文件系统 MCP 推荐

指导在已连接的 A0 CLI 宿主上安全使用 code_execution_remote 进行基于 shell 的执行。当用户索要其计算机、本地终端、CLI 宿主、远程 shell、非 Docker，或宿主侧的 Python/Node/终端命令时使用。

Next.js 16 App Router 的性能、缓存、Server Components、Server Actions、路由与代码整洁最佳实践——外加按类别进行的评审/重构算法与仓库级（删除/去重/复用）发现。在编写 Next.js 16 App Router 代码、通过 'use cache' 配置缓存、构建 Server Components、设置并行/拦截路由、配置 next.config.js 或 proxy.ts，或审计/重构 Next.js 代码库（单文件或整仓）时使用。本技能不覆盖通用 React 19 模式（请用 react 技能）及非 Next.js 的服务端渲染。

使用 MCP 工具创建、更新和管理 GitHub issue。当用户想创建缺陷报告、功能请求或任务 issue，更新现有 issue，添加标签/指派人/里程碑，设置 issue 字段（日期、优先级、自定义字段）、设定 issue 类型、管理 issue 工作流、关联 issue、添加依赖或跟踪 blocked-by/blocking 关系时使用。触发语如"create an issue""file a bug""request a feature""update issue X""set the priority""set the start date""link issues""add dependency""blocked by""blocking"及任何 GitHub issue 管理任务。

管理 Kubernetes 集群与 Helm 图表。当用户希望编写 Kubernetes 清单、创建 Helm 图表、部署应用、调试 Pod、配置网络（Service、Ingress）、设置弹性伸缩、管理 Secret 与 ConfigMap、编写 Operator、排查集群问题或落地 GitOps 工作流时使用。触发词：kubernetes, k8s, kubectl, helm, helm chart, pod, deployment, service, ingress, namespace, configmap, secret, hpa, pvc, statefulset, daemonset, cronjob, operator, kustomize, argocd, flux, gitops, node pool, taint, toleration, affinity。

使用 AI 代码编辑器 Cursor 构建软件。当用户要求配置 Cursor 规则、设置 .cursorrules 文件、用 Composer 做多文件编辑、集成 MCP 服务器，或优化 AI 辅助编码工作流时使用。

对指定文件或文件集执行架构与质量代码审查。检查编码标准合规、架构模式遵循、SOLID 原则、可测试性与性能问题。

面向单个游戏系统的引导式、逐节 GDD 撰写。从已有文档收集上下文，逐节协作展开，交叉引用依赖，并增量写入文件。

以通俗语言审阅合同，按严重度标出红旗条款，并生成带修订建议的标注版 docx/PDF。可接受可选的文件路径或 DocuSign 信封 ID。

SkillHub 的测试约定、CI 流水线规则与冒烟测试覆盖要求。确保 agent 正确编写测试并理解 CI 门禁要求。

处理 Slang 着色器、着色器模块、HLSL 兼容的 GPU 代码、图形渲染管线、compute shader、曲面细分、光线追踪、参数块、泛型、接口、capabilities、跨编译、着色器优化、着色器评审，或 C++ 引擎集成 Slang 时使用。凡提到 Slang、.slang 文件、slangc、来自 Slang 的 SPIR-V、Slang 模块、[shader("compute")]、[shader("vertex")]，或要求编写/评审/重构使用现代语言特性的着色器代码时触发；也适用于 Slang 到 HLSL/GLSL/Metal/CUDA 的跨编译问题，或用户将 "shader" 与泛型、接口、参数块、autodiff、capabilities 并提时。

在开始多文件重构前制定具体计划。当用户要求规划、排序、划定范围或安全执行跨文件重构时使用；始终先调研、输出计划并等待确认后再改动代码。

变更验证说明。以下情况必读：1. 被要求运行任何形式的测试；2. 完成某个里程碑的实现之后——即每次完成计划后。

执行基础的本地 PDF 操作（合并、拆分、提取页面/文本/表格、创建），适用于用户要求在不依赖外部服务的情况下离线处理 PDF。

规范的仓库内 DESIGN.md 工作流：作为产品、UI/UX 与前端决策的唯一事实来源。

在修改 `supabase/migrations/` 或 `supabase/schemas/` 下任何文件之前使用，或当用户执行 `/database <子命令>`（`compact local migration`、`rls scenarios`、`align`）时使用。它固化了保护 Grida 数据库层的三条约定：已应用的迁移不可变更、RLS 实现镜像测试（而非相反）、`schemas/*.sql` 是可读的最终状态。与 `supabase/AGENTS.md`（RLS、授权、安全边界）配套。

在 Grida 仓库中处理 `GRIDA-SEC-<id>` 安全边界的规范。当源码或文档中出现 `GRIDA-SEC` 标记、修改被标记路径下的文件，或新增一条已防范漏洞记录时触发。每个 `GRIDA-SEC-<id>` 都对应 `/SECURITY.md` 中记录的一处结构性信任边界。本 skill 说明其约定，要求提交任何被标记文件的改动前先做安全评审，并示范如何注册新的 id。只要上下文中出现 GRIDA-SEC 就应使用。

harness 无关的 `/implement` 版本。在单一对话中驱动单张 workshop 工单走完 SWE→Tester 循环，角色提示词以 `agents/software-engineer.md` 与 `agents/tester.md` 随包提供，而非作为 subagent 启动。从 `implement_yourself/tasks/` 解析工单，创建 `implementing/from-scratch` 分支（固定默认，不由工单派生；后续工单叠加其上），以软件工程角色实现，再切换到测试角色验证（仅限逻辑工单）。FAIL 时最多循环 3 次，把文件移到 `tasks/done/`，然后直接以 `git commit -m` 提交。一次只处理一张工单。在用户输入 `/implement-universal`、要求“不用 subagent 实现任务 NNN”，或使用不支持 Claude Code `Task` 工具的 harness（Cursor、Windsurf、原生 Claude API 客户端等）时触发。

部署纯静态文件站点——Caddy/nginx 服务、Staticfile 配置与 Dockerfile 模式。在部署无服务端运行时的静态 HTML 站点，或检测到项目根目录的 index.html、Staticfile 时使用

移动（Android + iOS）应用渗透测试方法论。涵盖静态分析（Android 用 apktool/jadx，iOS 用 class-dump/Hopper/IDA）、Frida 与 Objection 动态插桩、SSL pinning 绕过策略、root/越狱检测绕过、deep-link / URL scheme 滥用、导出组件攻击（Android 的 activity、service、provider、receiver；iOS 的 XPC、URL scheme、universal link）、不安全数据存储（SharedPrefs、KeyStore 误用、NSUserDefaults、Keychain ACL 绕过）、IPC / Intent 重定向、WebView 漏洞（JavaScriptInterface、file:// 访问）、Firebase/AWS/Azure 配置错误泄露、移动端 API 测试、生物识别/Face ID/Touch ID 绕过、应用克隆与运行时打补丁，以及移动恶意软件/RAT 分析基础能力。用于移动端渗透、漏洞赏金移动方向排查或应用商店侦察。

通过 Build Web Apps 或 web dev 插件测试、调试或对已渲染的前端应用做定向改进时使用：本地开发服务器、UI 回归、交互 bug、控制台错误、响应式布局与视觉 QA。先检查 Browser 插件是否可用，可用则优先使用；否则使用常规 Playwright 并记录所选原因。

面向生产环境 AI Agent 的安全加固模式。涵盖提示词注入防御（7 条规则）、数据边界强制、外部集成默认只读、保障数据完整性的 WAL 协议、健康检查脚本、完整性关卡、规则升级阶梯与会话记忆安全。适用于加固 Agent 部署以对抗恶意输入、数据泄露或运行故障。不用于网络安全、基础设施加固或渗透测试

从 PDF 文件提取文本、翻译成目标语言，并将结果保存为 Markdown 文件。当用户想翻译 PDF 文档或要求“把 PDF 转成中文”时使用本技能

精英级前端图像指导技能，用于生成高端、注重转化的网站设计参考。关键输出规则——每个区块单独生成一张横版图像。8 个区块的落地页产出 8 张图。绝不将多个区块压缩进一张图。强制构图多样性（不总是左文右图）、背景图像自由、多样 CTA、多样 hero 尺度（巨型/中等/迷你极简）、叙事概念主线、二刷亮点，以及所有图像统一的一套色板。为落地页、营销站与可供开发者或编码模型精确复刻的产品 comps 优化。

为应用功能生成自包含的 HTML/CSS 动画，用于演示、导览与新手引导。通过 Chrome 调研目标应用、访谈用户、生成结构化简报与动画 HTML 文件，随后进入“冻结-检查-反馈”迭代评审循环直至用户认可。当用户说“css animation”“给这个功能做动画”“创建 CSS 导览”“animation walkthrough”，或想做基于 CSS 的应用功能视觉演示时使用。

当用户要求编写 SQL 查询、优化数据库性能、生成迁移、探索数据库 Schema，或使用 Prisma、Drizzle、TypeORM、SQLAlchemy 等 ORM 时使用。

当用户要求创建 CodeTour 的 .tour 文件——面向特定角色、链接到真实文件与行号的分步导览——时使用。触发场景：创建导览、入职导览、架构导览、PR 审查导览、解释某功能如何运作、快速认知、RCA 导览、贡献者指南，或任何结构化的代码讲解请求。

Docker 与 Docker Compose 模式，面向本地开发、容器安全、网络、卷策略与多服务编排。

Next.js 16+ 与 Turbopack：增量打包、文件系统缓存、开发速度提升，以及何时用 Turbopack 替代 webpack。

构建或改造本地浏览器/CDP 测试装置，驱动并检查 Web、IDE 或 Electron UI。用于本地 UI 验证、截图、无障碍快照、性能剖析、视觉回归对比或复现 UI 缺陷。

构建或改造本地测试装置，以驱动、检查并剖析交互式 CLI 或 TUI，无需外部服务。适用于 CLI 体验检查、启动性能回归、内存泄漏、卡死、提示流程或终端演示。

在为本项目编写或运行测试时使用。涵盖单元测试与 E2E 测试的取舍、测试文件位置、mock 模式和项目特有的测试约定。（项目级）

审查当前分支的缺陷、与意图的契合度及测试覆盖；运行或编写测试；提交聚焦的工作并开启或更新 PR。

为 Rock RMS 数据库生成安全、正确的 SQL 脚本。处理 INSERT、UPDATE、DELETE、SELECT 查询、数据迁移与种子脚本，并遵循 Rock 的 schema 约定（PersonAlias、审计列、FK 约束、DefinedType/DefinedValue 查找、基于 Guid 的引用）。当用户说“create a sql script”“write sql”“insert data”“seed data”“data migration”“update records”“sql for Rock”“populate data”“add test data”“query Rock database”，或任何直接对 Rock RMS 数据库执行 SQL 的请求时使用。当用户描述要在 Rock 中添加、修改或查询的数据——即使未明说“SQL”——也应使用，例如“add 100 attendance records”“create a new campus”“give Ted Decker some financial transactions”“set up check-in data”。凡涉及 Rock 数据库记录且 SQL 是合适工具的任务，使用本技能。

Docker 与 Docker Compose 模式，面向本地开发、容器安全、网络、卷策略与多服务编排。

Next.js 16+ 与 Turbopack：增量打包、文件系统缓存、开发速度提升，以及何时用 Turbopack 替代 webpack。

Docker 与 Docker Compose 模式，面向本地开发、容器安全、网络、卷策略与多服务编排。

Next.js 16+ 与 Turbopack：增量打包、文件系统缓存、开发速度提升，以及何时用 Turbopack 替代 webpack。

Docker 与 Docker Compose 模式，面向本地开发、容器安全、网络、卷策略与多服务编排。

Next.js 16+ 与 Turbopack：增量打包、文件系统缓存、开发速度提升，以及何时用 Turbopack 替代 webpack。

使用 App Router、server components 或 server actions 构建 Next.js 14+ 应用时使用。用于配置 route handler、实现 middleware、搭建 API 路由、添加流式 SSR、为 SEO 编写 generateMetadata、脚手架 loading.tsx/error.tsx 边界，或部署到 Vercel。触发词：Next.js、Next.js 14、App Router、RSC、use server、Server Components、Server Actions、React Server Components、generateMetadata、loading.tsx、Next.js 部署、Vercel、Next.js 性能。

指导用户基于 Cursor TypeScript SDK（`@cursor/sdk`）构建应用、脚本、CI 流水线或自动化。只要用户提到集成、安装或面向 Cursor SDK 编写代码；说出 `Agent.create`、`Agent.prompt`、`Agent.resume`、`agent.send`、`run.stream`、`CursorAgentError` 或 `@cursor/sdk`；询问如何以编程方式从脚本、CI/CD 流水线、GitHub Action、后端服务或任何非 Cursor IDE 本身的代码中运行 Cursor 代理；以及如何选择本地与云端运行时、为 SDK 代理配置 MCP 服务器、处理 SDK 代理的流式输出、取消或错误时，都应使用本技能。用户把 Cursor 接入自动化、编写运行 Cursor 的机器人、或将 REST `/v1/agents` 调用迁移到 SDK 时也要触发，即使未明确提及包名。应主动触发而非凭记忆作答；SDK 接口持续演进，本技能及其参考文档是其权威来源。

审阅或修复那些用用户可控 kwargs 调用 setattr() 来配置 C++ 扩展对象（如 ONNX Runtime 的 SessionOptions、RunOptions）的 Python 代码。应用白名单模式，防止经由反射属性访问导致的任意文件写入等攻击。

精英级移动应用图像生成技能，创建高端、应用原生的界面概念与流程。面向 iOS、Android 与跨平台移动产品。强调清晰层级、舒适可读的文字、多屏强一致性、克制的配色、非套路化的创意方向、质感表面、图像主导构图、有品位的手绘图标与干净的手机边框样机。默认将界面置于带可见边框的精致 iPhone 或类似手机样机中展示，焦点仍留在应用内容本身。此技能仅生成图像，不写代码。

所有 MCP 服务器工作的必备指南——mcp-use 框架的最佳实践与模式。任何 MCP 服务器工作前先读本 skill，包括：新建 MCP 服务器、修改现有服务器（增改 tools、resources、prompts、widgets）、调试服务器问题、审查代码的质量/安全/性能、回答 MCP 开发或 mcp-use 模式问题，以及对 server.tool()、server.resource()、server.prompt() 和 widgets 做任何修改。内含关键的架构决策、安全模式和常见陷阱。实现任何 MCP 功能前务必先查阅对应参考文件。

Next.js 16+ 与 Turbopack：增量打包、文件系统缓存、开发速度提升，以及何时用 Turbopack 替代 webpack。

如何编写和管理 Cursor 规则——通过 @cursor-usage 调用

在定义或审查源自生成式 API 客户端或 DTO 的 massCode 渲染层类型时使用，尤其是判断应复用既有 API 形状、派生更窄的本地类型，还是引入仅用于 UI 的模型。

当用户想要迁移、转换、排障或生成使用 sqlite3mysql 将 SQLite 3 结构与数据搬到 MySQL/MariaDB 的命令时使用此技能。帮助收集所需的源与连接信息，选择本地或 Docker 工作流，生成可安全复制粘贴的命令，并说明 sqlite3mysql 的注意事项。