Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,770 件掲載。コマンド 1 行でインストールできます。
セキュリティ
Supabase の JWT claims によるカスタムのロールベースアクセス制御を実装します：app_metadata.role、auth.jwt() でロールを抽出する RLS ポリシー、組織スコープのアクセス、API key のスコープ設定。ロールベースの権限の実装、組織レベルのアクセスの構成、admin/member/viewer の階層の構築、ロールごとの API key のスコープ設定を行う際に使用します。トリガー：「supabase RBAC」「supabase roles」「supabase permissions」「supabase JWT claims」「supabase organization access」「supabase custom roles」「supabase app_metadata」。
ソフトウェアサプライチェーンの攻撃対象領域を外部から偵察します。パッケージ名前空間のスクワッティング候補、依存関係混同の脆弱性、GitHub Actions のインジェクション機会、コンテナイメージレジストリの公開、SBOM の調査、内部パッケージ名の漏えい、CI/CD 設定の露出を確認します。偵察と特定のみを行います。実際のパッケージ公開／タイポスクワッティング攻撃は外部への攻撃行為であり、npm/PyPI エコシステム全体に影響する可能性があるため、明示的な書面による承認が必要です。対象に公開 GitHub 組織がある場合、ビルド成果物／SBOM にアクセスできる場合、Docker イメージが Docker Hub/GHCR にある場合、または JS バンドル内で内部パッケージ名が見つかった場合に使用します。
並列する専門家とタブ付き HTML レポートを使って、プロジェクト全体の UX の問題、アーキテクチャの弱点、データ信頼性のリスク、セキュリティ境界、パフォーマンスやデリバリーのリスクを監査します。プロジェクトアーキテクチャの監査、システム境界のレビュー、フロントエンドの監査、UI の一貫性のレビュー、データ整合性や障害復旧の確認、セキュリティや認可の監査、機密データの扱いのレビュー、パフォーマンスの監査、ビルドやデプロイの安全性のレビュー、肥大化したコード・デッドコード・未使用の依存関係・重複したヘルパーの検出、「何を削除できるか」の確認、または /ultima を求められたときに使用します。
CODE、API、AUTH、DATA、NETWORK の各レイヤーを横断するインタラクティブなシステムフロートレース。SQLite による永続化と Mermaid エクスポートに対応。セキュリティ監査、コンプライアンス文書、フロートレース、機能のアイデア出し、ブレインストーミング、デバッグ、アーキテクチャレビュー、インシデントのポストモーテムに使用する。トリガー：audit、trace flow、document flow、security review、debug flow、brainstorm、architecture review、post-mortem、incident review。
baserCMS のリポジトリセキュリティアドバイザリ（GHSA・triage 含む）への対応を、一覧取得→指摘検証→課題別の修正→プライベートフォーク／ブランチ／PR 作成→ローカル検証まで一貫して扱う手順とスクリプト。「セキュリティアドバイザリを確認」「triage の脆弱性を検証」「アドバイザリごとにフォークと PR を作って」「脆弱性修正をプルリクにまとめて」などの場合に使用します。Copilot／GHA はアドバイザリのフォークで使えないため、ローカル検証（/code-review・basercms-unittest）を正とする点、push の反映待ちリトライ、共有ファイルの hunk 分割、base 追従時の定番競合解決を収録しています。
Azure CLI、PowerShell、Microsoft Defender for Storage を使って、Azure ストレージアカウントのパブリック BLOB コンテナ、暗号化の欠如、過度に緩い SAS トークン、無効化されたログ記録、ネットワークアクセス違反を監査する。サブスクリプションをまたぐストレージセキュリティ監査、Defender for Storage の匿名アクセスアラートへの対応、コンプライアンス管理策の検証、サブスクリプションのオンボーディング時のセキュリティベースライン設定に使用。
組織の DPIA 登記簿を管理し、企業全体のすべてのデータ保護影響評価を追跡する。DPIA のライフサイクル管理、ステータス追跡、レビューのスケジューリング、第 35 条(11) の定期的な再評価、監督機関への報告を扱う。DPIA を RoPA エントリ、リスク登記簿、軽減計画に紐づける集中登記簿を実装する。キーワード：DPIA 登記簿、DPIA 追跡、Art. 35(11)、レビュースケジュール、DPIA ライフサイクル、集中登記簿、DPIA ポートフォリオ管理。
エージェント型コーディング向けの 2026 年の総合的なエンジニアリングベストプラクティス。Node.js、Next.js、NestJS、Java、Spring Boot、Python、Elixir、Phoenix、Erlang、Rust、Go、React、Vue、Nuxt、Astro および SQL/NoSQL データベースのコードを書き、レビューし、リファクタリングするときに適用する。セキュリティ（OWASP Top 10、ゼロトラスト、サプライチェーンの強化）、パフォーマンス（非同期 I/O、キャッシュ、コネクションプーリング、N+1 の防止）、冪等性、原子性、並行性、可観測性（OpenTelemetry、構造化ログ）、アクセシビリティ（WCAG 2.2 AA）を扱う。技術スタックごとのバージョン基準、慣用的なパターン、既知の CVE と落とし穴（例：Next.js CVE-2025-29927、Valkey 9.1 RC）、マージ前/本番前チェックリストを含む。言語やフレームワークを問わず、あらゆるプログラミング作業に使用する。
提出前に AAB または APK をスキャンして Google Play ポリシーへの準拠を確認する場合や、リリース間の署名キーの一貫性を確認する場合に使用します。ユーザーが事前チェック、コンプライアンス確認、ポリシースキャン、提出前チェック、署名キーの一貫性、証明書の不一致に言及した場合や、AAB/APK が Google Play の要件を満たすか確認したい場合に起動します。制限付き権限、target SDK 要件、64 ビット準拠、ハードコードされたシークレットの検出、Data Safety フォームのリマインダー、フォアグラウンドサービスの宣言、App コンテンツの申告に関する質問にも対応します。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。