Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
ブラウザ向けの BFF とバックエンド HTTP エントリポイントを設計し保護する。すべての本番ルートに対する明示的な公開/保護アクセス分類、セッション、Origin、Fetch Metadata、CSRF、コンテンツタイプポリシーを構築時に設定するコンポジションで準備されたエンドポイント登録器、アプリケーション内部でのプロバイダー非依存の認可、保護された SSE と WebSocket の登録、ブラウザセッションの調整、自動化された強制ゲート。HTTP エンドポイントを追加またはレビューするとき、テナントや顧客がルートを通じて他者のデータを見られる場合、エンドポイントで認可の不具合が報告された場合、認証ミドルウェア、セッションクッキー、CSRF または Origin ポリシー、リアルタイムストリーム、ログイン/ログアウトフロー、どのルートが公開かを監査するときに使用する。BFF を採用すべきか、粒度、集約、上流の ID 仲介については bff-design を使用。BFF ルートの物理的なレイアウトには structure-codebase を使用。REST セマンティクス、ページネーション、バージョニングには api-design を使用。OAuth/OIDC プロトコルフローには secure-oauth-oidc を使用。ポートとアダプターの実装には hexagonal-architecture を使用。
ユーザーがコードレビュー、変更のレビュー、コミットのレビュー、PR のレビュー、コード品質の監査、セキュリティ問題の確認、またはコードレビューレポートの生成を求めた場合に使用する。「review my changes」「코드 리뷰」「check my code」「review the last commit」「what do you think of this diff」「compare branches」「code audit」「HTML 리뷰 보고서」「styled review report」「/code-review」「$code-review」といった表現で発火する。ユーザーが明示的に「code review」と言っていなくてもよい。重大度タグ付きの指摘を Markdown レポートとして、また `.reviews/` 配下に自己完結型のバイリンガル HTML レポートを生成し、ブラウザで開く。Markdown のみの成果物が必要な場合は `code-review-md` を使用する。
アプリケーションのソースコードと設定について、暗号化とシークレット管理の衛生上の問題を監査する：ハードコードされた API key、コミットされた .env ファイル、秘密鍵、弱いハッシュ、安全でない暗号化モード、安全でない乱数、不適切な KDF/パスワードハッシュ、JWT 署名の誤り、無効化された TLS 検証、危険なシリアライズ。依存関係のないオフラインスキャナーを実行して再現率の高い検出結果を得たうえで、モデルが影響を確認し、マスク済みの証拠とともに具体的な修正を書く。暗号化、トークン、セッション、証明書、認証情報を扱うアプリコードをレビューするとき；ハードコードされたシークレット、露出した API key、弱い暗号、AES-ECB/CBC の誤用、MD5/SHA1 のパスワードハッシュ、安全でないランダムトークン、verify=False、InsecureSkipVerify、rejectUnauthorized false、alg none の JWT、コミットされた秘密鍵のスキャンを求められたときに使用する。Terraform/Kubernetes のみの監査（infra-security を使用）、パッケージのインストールフックのリスク（supply-chain-security を使用）、インストール前のエージェントスキルの審査（skill-security を使用）には適さない。
パッケージ URL を GitLab Dependency Firewall でチェックし、対応するパッケージマネージャーを経由させ、glab でローカルのファイアウォール活動を確認する。npm、PyPI、Maven、RubyGems の PURL をチェックするとき、対応するパッケージマネージャーラッパーに依存ポリシーを適用するとき、CI ログを要約するとき、Dependency Firewall の終了コードをトラブルシューティングするときに使用する。トリガー：dependency firewall、glab df、glab dependency-firewall、package URL、PURL、package policy、ci-summary、blocked package、flagged package。
Web ソースツリー全体に仕込まれた webshell とバックドアを探す — まず PHP（JSP、ASP、Node も対象）— ディレクトリを大規模にトリアージし、ペイロードを一切実行せずに難読化レイヤーを静的にデコードし、追記型感染や偽プラグインを見つけ、既知のシェルファミリーを断定ではなく手がかりとして扱う。Web サーバーが侵害された疑いがあるとき、ハッキングされた WordPress/Magento/CMS サイトをクリーンアップするとき、ダウンロードした PHP コードベースやプラグインに隠された悪意あるコードがないか検査するとき、またはファイルがデコード後の入力に対して eval を使用しているときに使用する。
Lenses MCP サーバーを使用して、コードベースと稼働中クラスター全体の Kafka セキュリティ設定を監査する。認証（SASL）、暗号化（SSL/TLS）、認可（ACL）、シークレット管理、環境階層の不一致をチェックする。ユーザーが "audit Kafka security"、"check security config"、"is my cluster secure" と言った場合、または認証、暗号化、資格情報について尋ねた場合に使用する。証明書の設定、SASL ユーザーの作成、ACL のセットアップには使用しない。
決してコミットすべきでないファイル——シークレット（.env、API トークン、ハードコードされた認証情報）や開発成果物（ビルド出力、一時データベース、エディタ/OS ファイル）——を防止・検出・修復する。.gitignore（およびなぜそれが追跡解除しないのか）、git rm --cached、追跡ファイルの監査、履歴の書き換え、認証情報のローテーションを扱う。リポジトリにシークレットや不要物がコミットされている場合、新しいリポジトリの無視ルールを設定する場合、またはリポジトリが実際に何を追跡しているかを確認する場合に使用する。
人物、企業、ドメイン、B2B アカウントに関するオープンソースインテリジェンス。ユーザーが対象を調査、審査、研究、または人物情報をまとめたいときに使用する——"OSINT"、"due diligence"、"background check"、"research this person"、"look into [company/domain]"、"vet this prospect/vendor"、"what does X do"、"is this account worth pursuing"、"find me a contact at"、"who's the buyer for" といったフレーズ、またはあらゆるオープンソース調査タスク。報告前に身元の曖昧さを解消し、すべての主張を独立した情報源の数で格付けする。
Claroty xDome プラットフォームを用いて OT 脆弱性評価を実施し、資産の検出、リスクスコアリング、脆弱性の相関を行い、トラフィックベースのパッシブな識別と安全なデバイスへのアクティブクエリを、修復の優先順位付けのための CVE/ICS-CERT アドバイザリ相関と組み合わせる。定期的な IEC 62443 または NERC CIP の OT 脆弱性評価、xDome の初期導入、CIP-010-4 準拠エビデンスの生成に使用；アクティブな PLC スキャンやペネトレーションテストには使用しない。
難読化・バンドル・圧縮されたブラウザ/Node JavaScript をリバースエンジニアリングする——webpack チャンクの展開、sourcemap からのソース復元、webcrack/synchrony/restringer による obfuscator.io の文字列配列および制御フロー難読化の解除、Chrome DevTools を用いた稼働中バンドル内での署名または暗号処理ルーチンの特定。ページが巨大な圧縮バンドルを配信する場合、コードが _0x の16進識別子とローテーションされた文字列配列で埋め尽くされている場合、.js.map に到達できる場合、またはリクエスト署名やトークンが計算される箇所を見つける必要がある場合に使用する。
Supabaseがメンテナンスする、あらゆる環境で稼働するPostgres向けのベストプラクティスです。Postgresデータベース内の内容を作成または変更する前に、このスキルを読み込んでください。対象は、テーブルや列の作成・変更（列型の選択を含む）、スキーマ設計、マイグレーションと宣言的スキーマファイル、RLSポリシーと検証テスト、インデックス、トリガー、データベース関数、キューとスケジュールジョブ（pg_cron、pgmq）、ベクトル／セマンティック検索（pgvector）、ダンプの復元（pg_restore）やデータのインポートです。遅いクエリ、CPU使用率の高さ、タイムアウト、EXPLAINプラン、接続枯渇、ロック、肥大化、または誤ったユーザーやテナントに表示される行の診断時にも読み込んでください。これは単なるパフォーマンスガイドではありません。スキーマ、マイグレーション、セキュリティ、SQL作成の作業にもこのルールが必要です。列を1つ変更する場合や単一のクエリでも同様です。
WebAuthn/FIDO2 のパスワードレス認証。パスキー、登録と認証のセレモニー、SimpleWebAuthn ライブラリ、常駐クレデンシャル、プラットフォーム/クロスプラットフォーム認証器。使用する場合：ユーザーが「WebAuthn」「FIDO2」「passkey」「パスワードレス」「生体認証ログイン」「セキュリティキー」「指紋ログイン」「SimpleWebAuthn」に言及したとき。使用しない場合：パスワードベースの認証 — `jwt` または `oauth2` を使用。マジックリンク — フローが異なる。OAuth ソーシャルログイン — `oauth2` を使用。
glab を使って GitLab 認証情報を短期間有効な Artifact Registry トークンと交換し、トークンの識別情報を検証して、パッケージマネージャーの認証を構成します。GitLab Artifact Registry のアクセス確認、一時的なレジストリトークンの取得、または GitLab Artifact Registry 用の Docker、Maven、Gradle、npm、Yarn、sbt の構成に使用します。トリガー：artifact registry、glab artifact-registry、glab ar、get-token、token exchange、registry access status、artifact-registry login、Docker credential helper、Maven registry、Gradle registry、npm auth、sbt credentials。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。