探索 MCP Server 与 Agent Skill

io.github.joe-bell/cva/security-review

面向漏洞的安全代码审查。当被要求“安全审查”“找漏洞”“检查安全问题”“安全审计”“OWASP 评审”，或审查注入、XSS、认证、授权、加密相关问题时使用。提供系统化审查与基于置信度的报告。

io.github.nexu-io/open-design/html-ppt-zhangzara-capsule

产品经理的年终自我复盘——职责、成果、成长与诉求，全部有证据支撑。以面向上级与评审委员会的决策级职业幻灯片构建。

io.github.nexu-io/open-design/html-ppt-zhangzara-retro-windows

面向全体员工的 IT 安全意识培训——识别钓鱼邮件的征兆、演练与最初 60 秒该做什么。以决策级专业培训幻灯片形式构建。

io.github.handsontable/handsontable/react-wrapper-dev

用于开发或修改 @handsontable/react-wrapper 包——React 组件、hooks、settings 映射、updateSettings 期间的选区保持，以及该封装的 TypeScript prop 类型与生成的 .d.ts。当任务触及 HotTableProps/HotColumnProps 类型或 <HotTable>/<HotColumn> 的 IDE 自动补全、声明构建，或反馈 React/TypeScript 用户得不到 prop 建议时使用——即便未显式提到该封装。

io.github.liuzhengdongfortest/CodeStable/cs-refactor

Refactor 主入口。触发：优化/重构/拆分/性能/代码太长，且不改变行为、不新增需求。不要用于新增功能(cs-feat)、修复 bug(cs-issue)、对外文档(cs-docs)、大需求拆解(cs-epic)。

io.github.apache/shardingsphere/review-pr

审阅 Apache ShardingSphere 的 PR 是否真正修复了根因，评估副作用与回归风险，并基于公开证据判断代码正确性或可合并性。若不可合并，则在 PR 的方向、根因模型或问题界定需要重新讨论时，产出符合维护者口吻的修改请求或需讨论反馈。也适用于 GitHub 可见的 PR 讨论、审查评论、被质疑的发现，以及可直接粘贴的维护者回复——凡涉及审查正确性、可合并性、修改请求合理性或根因证据的判断。支持面向高风险或明确拒绝零散审阅的全覆盖台账审查，并在最终输出前自我迭代。

io.github.microsoft/vscode/agent-host-logs

分析 Agent Host 调试日志导出。在拿到 ah-logs 或 ahp-logs 压缩包/目录、Export Agent Host Debug Logs 导出的内容、events.jsonl、AHP JSONL 传输日志、Agent Host.log、remote-agenthost.log 或 copilot-logs 时使用。

io.github.microsoft/vscode/code-oss-logs

查找并读取 Code OSS 开发版构建中带时间戳的进程日志，包括 main.log、renderer.log、扩展宿主日志与 agenthost.log。若日志来自 Export Agent Host Debug Logs 导出的压缩包，请改用 agent-host-logs。

io.github.Yeachan-Heo/oh-my-codex/code-review

执行一次全面的代码审查。

io.github.DietrichGebert/ponytail/ponytail

适用于任何编码任务（编写、重构、修复、审查）的偷懒资深开发模式：YAGNI、标准库优先、不做未经要求的抽象。不适用于非编码请求。

io.github.compozy/compozy/writing-tech-post

端到端完成工程博客写作：发布深度解读、故障复盘、架构迁移、性能案例、教程、AI/agent 系统记录、安全披露，以及从研究到产品的转化文章。选对文章原型、规划抽象阶梯、遵循证据节奏（图示、基准测试、profile、trace、代码、消融实验），按 Datadog、Vercel、GitHub、AWS、Meta、Cloudflare、Jane Street 等发布方的行文风格校准语气，并在发布前用叙事推进与披露伦理两道门禁检查。在起草新的工程文章、重构成色平淡的初稿、判断某种证据该放在何处、校验技术深度与产品背景是否均衡，或为对外发布准备故障复盘、迁移、性能叙述时使用。不用于 API 参考文档、README、营销文案、release notes、泛 SEO 内容、代笔高管观点文章，以及非工程类长文。

io.github.compozy/compozy/writing-skills

编写、重构与调试 agent skill。在从零创建新 skill、精简或重组臃肿的 SKILL.md、收紧 skill 描述里的触发条件，或诊断 agent 忽略内嵌 references 时使用。不用于 CLAUDE.md、AGENTS.md 这类 agent 指令文件（改用 agent-md-refactor）、一般文档或 README。

io.github.compozy/compozy/refactoring-analysis

用 Martin Fowler 的代码坏味道与技术目录审计代码库的重构机会——过长函数、重复代码、高耦合、复杂条件、基本类型偏执——并把按优先级排序的报告写到 docs/_refacs/。在审计代码质量、规划重构冲刺或检查架构健康度时使用。不用于风格/格式化、性能或安全审计。

io.github.compozy/compozy/testing-boss

关于“写出能暴露 bug 而非侥幸通过”的测试准则，覆盖软件与 LLM/AI 系统。在编写或评审测试、新增 mock、判断测试该放在哪一层、让编码 agent 生成测试、排查 flaky CI、为 LLM/agent 功能设计 eval 套件，或重建脆弱的测试集时使用。不用于通用代码评审、与测试无关的库调试、超出测试范围的 CI 流水线设计，或生产可观测性。

io.github.compozy/compozy/typescript-advanced

掌握 TypeScript 的高级类型系统，包括泛型、条件类型、映射类型、模板字面量类型与工具类型，用于构建类型安全的应用。在实现复杂类型逻辑、编写可复用的类型工具，或保证 TypeScript 项目的编译期类型安全时使用。不用于纯 JavaScript、运行时校验库（Zod、Yup）或基础的 TS 语法问题。

io.github.openai/plugins/security-diff-scan

当用户要求对 pull request、commit、分支 diff、工作树补丁或其他基于 Git 的变更集做安全审查时使用。

io.github.openai/plugins/security-scan

用于对整个仓库或某个限定路径、包目录、子模块做标准单轮安全审计（没有 diff 可审的情况）。这是默认的仓库扫描。不用于 PR/commit/分支/工作树 diff，也不用于深度多轮或降低方差的扫描。

io.github.github/awesome-copilot/mcp-implementation-security-review

对照安全基线评审 MCP（Model Context Protocol）server、客户端与工具处理器的实现源码——认证、会话、限流、输入 schema 校验、官方 SDK 使用、RCE 向量及 OWASP MCP Top 10——产出带文件/行证据的报告。适用场景：发布前评审 MCP server 实现的安全性；对照基线控制项（MCP-01 至 MCP-05）与 OWASP MCP Top 10 检查 server；审计工具中的 RCE 向量（命令/代码注入、不安全反序列化、路径穿越、SSTI、依赖劫持、SSRF）；验证网络暴露 server 的认证、会话、限流与输入校验；评审处理不可信 server 响应和会话 ID 的 MCP 客户端代码；以及"帮我做这个 MCP server 的安全评审""我的 MCP server 实现安全吗"之类请求。

io.github.ScriptedAlchemy/tracedecay/automation-run-review

在需要复盘自我改进类自动化的执行结果与启用策略时使用。

io.github.posit-dev/py-shiny/testing

在为 Shiny for Python (py-shiny) 应用编写或运行端到端测试时使用——在 pytest 下启动应用、定位并断言 UI 组件（输入、输出、卡片、导航集）、用 Playwright 模拟用户交互，或当你想对 Shiny 渲染的 HTML 手写 CSS 选择器、原始 Playwright 定位器或 sleep() 等待时

io.github.browserbase/skills/browser

通过 CLI 命令以自然语言自动化 Web 浏览器交互。当用户要求浏览网站、导航页面、从网站提取数据、截图、填表、点击按钮或操作 Web 应用时使用。支持远程 Browserbase 会话：Browserbase Identity、验证浏览器、自动解 CAPTCHA 与住宅代理——适合受防护的网站与重 JavaScript 页面。

io.github.hashicorp/agent-skills/refactor-module

遵循 HashiCorp 模块设计原则与社区最佳实践，将单体式 Terraform 配置改造为可复用、易维护的模块。