Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
.NET MAUI アプリに認証を追加する。汎用の OAuth 2.0 / ソーシャルログイン向けの WebAuthenticator、および Microsoft Entra ID（Azure AD）向けの MSAL.NET を扱い、ブローカー対応（Microsoft Authenticator）、トークンキャッシュ、条件付きアクセス、プラットフォーム固有の設定（Android、iOS、Windows）、ベアラートークンの API 呼び出し用 DelegatingHandler、Blazor Hybrid 統合をカバーする。次の用途に使用：「add authentication」「OAuth login」「MSAL.NET」「social login」「WebAuthenticator」「Entra ID MAUI」「Azure AD login」「Google login MAUI」「Apple login MAUI」「token caching」「bearer token」「sign in」。次の用途には使用しない：トークンの安全なローカル保存（maui-secure-storage を使用）、Aspire 固有の認証設定（maui-aspire を使用）、サーバー側の Entra ID プロビジョニング（entra-id-aspire-provisioning を使用）。
(NS) セキュリティ/互換性/a11y の衛生管理 + Vercel Web Interface Guidelines のレビュー（ヘッダー、CSP、依存関係、アクセシビリティ）。セキュリティの強化、CSP/CORS/ヘッダーの修正、UI のレビュー / a11y の確認 / UX の監査、Web Interface Guidelines の適用に使用します — 「ベストプラクティス」と言及されていなくても同様です。ns-proto-creator のクローズアウト時にも使用します。MR/SOLID レビュー（ns-code-reviewer）、ビジュアルのリデザイン（ns-code-frontend-design）、機能実装（ns-code-coder / ns-spec-driven）には使用しないでください。
タスクが決済、請求、サブスクリプションに関わる場合は積極的に読み込む。ユーザーが「add payments」「integrate Stripe」「set up subscriptions」「add a checkout flow」「handle billing webhooks」と言ったときに使用。Stripe、LemonSqueezy、Paddle の統合、チェックアウトセッション、サブスクリプションのライフサイクル管理、webhook の検証と処理、カスタマーポータル、従量課金、返金、PCI 準拠の考慮事項を扱う。
多角的な PLC コードのセキュリティと品質分析を行うための独立したスキル。トリガー："review"、"audit"、"analyze"、"security check"、"vulnerability scan"、"code review"、"check this code"、"is this safe"、"find issues" が PLC、SCL、ST、LAD、FBD、Structured Text、またはブロックの文脈と組み合わさったとき。ユーザーが PLC コードを貼り付けてフィードバックを求めたとき、またはエクスポートされた SimaticML XML ファイルをアップロードしたときにもトリガーします。このスキルは tia-openness-roadmap とは独立しています — エンジニアリングの自動化は行いません。すでにエクスポートまたは貼り付けられたコードを分析します。
hbctool、hermes-dec、Frida を使用して、Hermes バイトコードバンドルを含む React Native モバイルアプリをリバースエンジニアリングします。APK に index.android.bundle または libhermes.so が含まれる場合、IPA に main.jsbundle が含まれる場合、jadx に ReactActivity クラスしか表示されない場合、またはバンドルファイルが読み取り可能な JavaScript ではなく Hermes のマジックバイトで始まる場合に使用します。
Volcengine コンプライアンスベストプラクティスアシスタント：（1）ユーザーの要望（満たすべきコンプライアンス基準、キーワード、関心のあるリスクレベル）に基づき、Volcengine 公式の組み込みコンプライアンスパックテンプレートからどれを有効化すべきかを推薦し、すでに有効なものを示す。（2）アカウントの現在のコンプライアンス態勢を集約し、有効なルール/コンプライアンスパック（公式組み込み + ユーザー定義）の評価結果をカテゴリ（規制 / ベストプラクティス / カスタム）と重大度別にコンプライアンス概要レポートにまとめる。（3）公式ベースラインがカバーしていない場合、Rego ポリシーをカスタムコンプライアンスルールとして記述し評価に登録するようユーザーを支援する。ユーザーの確認後、推薦したテンプレートをコンプライアンスパックとしてデプロイできる。ユーザーが「コンプライアンスチェック / コンプライアンス巡視 / セキュリティコンプライアンス / コンプライアンスベストプラクティス / どのコンプライアンスルールを有効化すべきか / MLPS コンプライアンス / 私の Volcengine アカウントは準拠しているか / どのような非準拠があるか / カスタムコンプライアンスルールを書いてほしい」を行いたい場合、または Volcengine の「Config / コンプライアンスパック / conformance pack / Rego ポリシー」に言及したときに使用する。火山 / 火山引擎 / volcengine のキーワードとコンプライアンスシナリオの組み合わせでトリガーする。コンプライアンスパックのデプロイ / カスタムルールの登録は書き込み操作であり、ユーザーの確認が必要である。コンプライアンスレポートとリソース修復は厳密に分離する。
Web/JS リバースエンジニアリングにおける純アルゴリズム、CAPTCHA の純アルゴリズム、複雑な header/cookie 署名、混合暗号化、JSVMP/VMP、Wasm、PoW、レスポンス復号、フィンガープリントと challenge パラメータの復元のワークフロー。最終リクエスト、最終 cookie、最終 verify、最終 WebSocket フレームから writer、builder、entry、source を逆算する必要がある場面、ブラウザーとローカルの整合チェックポイントを設計する場面、いつ AST の難読化解除を行い、いつインストルメンテーションを行い、いつ最小限の環境補完を行い、いつ画像系とパラメータ系を分離するかを判断する場面、研究成果を solver、SDK、スクリプト、サービスとして実装する場面で使用する。ユーザーが純アルゴリズム、CAPTCHA の純アルゴリズム、スライダー、クリック選択、回転、PoW、collect、w、x-s、a_bogus、encSecKey、captchaBody、X-Bogus、Wasm、中国国密、環境補完、フィンガープリント、challenge、verify、header 署名、cookie 署名に明確に言及したときに使用する。
エージェントに、検証済みの人間の所有者に紐づく暗号学的な Alien Agent ID、RFC 9449 DPoP による Alien 対応サービスへの署名認証、サービス認証情報（GitHub、Slack、AWS など）用の暗号化ボールト、および来歴トレーラー付きの SSH 署名済み git コミットを付与する。ユーザーが Alien アイデンティティのブートストラップ、Alien Network サービス（alien-api.com / alien.org / agent-sso.* 配下のもの）へのサインイン、そのようなサービスへの投稿や呼び出し、サービス認証情報の安全な保存や取得、特定のエージェント + 人間の所有者に帰属するコミットの作成を求めたときに使用する。また「Alien ID」「Agent ID」「DPoP」「cnf.jkt」「owner binding」という用語でもトリガーする。
Android アプリのペネトレーションテスト手法。APK 静的解析（逆コンパイル/コード監査/Manifest 解析）、動的解析（Frida Hook/SSL Pinning バイパス/トラフィック取得）、データ保存の安全性、コンポーネントの安全性（Activity/Service/Provider/Receiver）、WebView の安全性、Root 検出のバイパスを扱う。Agent が Android アプリのセキュリティをテストする、APK ファイルを解析する、アプリの保護機構をバイパスする必要があるときに発動する。
OAuth 2.0 および OpenID Connect のフローを攻撃します。OIDC ディスカバリードキュメントからエンドポイントを列挙し、パストラバーサル、オープンリダイレクトの連鎖、サブドメインや正規表現の弱点、%2F/@ のパーサートリックで redirect_uri の検証を突破します。state の欠落（コールバック CSRF）や PKCE の欠落・ダウングレードを悪用し、オープンリダイレクターや referer の漏えいを通じてコードとトークンを窃取し、クライアント間で認可コードを再利用・注入し、scope を昇格して同意を回避します。access_token と id_token を混同させ、「X でログイン」のメール信頼やデバイスコードを使った同意フィッシングでアカウントを乗っ取ります。/authorize、/oauth/token、response_type、redirect_uri、client_id、code=、state= パラメーター、「Google/Microsoft/GitHub でログイン」ボタン、または /.well-known/openid-configuration の OIDC ディスカバリードキュメントが見つかった場合に使用します。
コード品質のチェック、セキュリティ監査の実行、テストカバレッジの測定、SOLID/DRY 違反の検出、品質ツールのセットアップを行うときに使用。ユーザーが「audit this code」「check security」「run PHPStan」「code quality」「find violations」「SOLID check」「DRY check」「test coverage」「lint this」「security review」「is this production ready」「check for vulnerabilities」「code review」「grade this code」「watch mode lint」「deep review」「ultrareview」「schedule quality sweep」と言ったときに使用。Drupal（DDEV 経由の PHPStan、PHPMD、Psalm、Semgrep、Trivy、Gitleaks）と Next.js（ESLint、Jest、Semgrep、Trivy、Gitleaks）をサポートする。デプロイ前や重要なコード変更後に積極的に使用する。
React/TypeScript/Tailwind プロジェクト向けのフロントエンド中心のコードレビュースキル。コード品質、セキュリティ脆弱性（XSS、CSRF）、パフォーマンス問題、アクセシビリティ（WCAG）、React のベストプラクティス、hooks の使用法、コンポーネントアーキテクチャ、レスポンシブデザイン、SEO を分析します。ユーザーがコードレビューを依頼する、コンポーネントへのフィードバックを求める、フロントエンドのセキュリティ、パフォーマンス最適化、アクセシビリティ準拠について尋ねる場合に使用します。重大度レベルと修正提案を伴う実行可能なフィードバックを提供します。
信頼境界、認証フロー、信頼できない入力を対象に、脅威モデリング、脆弱性評価、シークレットのサニタイズ、セキュリティレビューを実施します。認証／認可ロジックの監査、API のインジェクション／CORS／CSRF リスクの調査、ハードコードされた認証情報の確認、セキュリティに関わる差分のレビューに使用します。ユーザーが「fable-security」と明示していない場合も対象です（例：「このコードをセキュリティ監査して」「脆弱性を確認して」「認証ロジックを検証して」「漏えいしたシークレットをスキャンして」）。一般的なスタイルレビュー（fable-review を使用）や、セキュリティ以外のバグ修正（fable-tdd を使用）には使わないでください。
Huawei Cloud でシークレット、認証情報、暗号化キー、証明書、その他の機密データを管理するときに使用する。シークレットのライフサイクル管理を行う CSMS（Cloud Secret Management Service）、暗号化キーの管理を行う KMS（Key Management Service）、ローテーション診断、CTS（Cloud Trace Service）による KMS キー使用状況の監査を扱う。サービスキーワード：dew、kms、csms、cts、secretsmanager、secrets manager、cloud secret management service、key management service、data encryption workshop、data encryption service、DEW service、KooCLI、数据加密服务、密钥管理服务、凭据管理服务、DEW、KMS、CSMS、CTS、密钥、凭据、加密、轮转。10 個の huawei_* アクションを提供する：huawei_list_csms_secrets、huawei_describe_csms_secret、huawei_list_csms_secret_versions、huawei_list_kms_keys、huawei_analyze_dew_rotation、huawei_analyze_dew_key_usage、huawei_create_kms_key、huawei_enable_csms_secret_rotation、huawei_update_csms_secret_version、huawei_delete_kms_key。トリガーには次が含まれる："secret"、"credential"、"API key"、"token"、"password"、"encrypt"、"decrypt"、"KMS"、"CSMS"、"DEW"、"secretsmanager"、"certificate"、"CSR"、"rotation"、"密钥"、"凭据"、"加密"、"轮转"、"数据加密"、"访问密钥"、"加密密钥"。シークレットや認証情報を含むあらゆるタスクで有効化される — シークレットを扱う前にこのスキルを読み込むこと。
SecureStorage.Default を使って .NET MAUI アプリに安全なストレージを追加する。SetAsync、GetAsync、Remove、RemoveAll、プラットフォームの設定（Android のバックアップルール、iOS の Keychain エンタイトルメント、Windows の制限）、よくある落とし穴、テスト容易性のための DI ラッパーサービスをカバーする。次の用途に使用：「secure storage」「SecureStorage」「store token securely」「Keychain」「Android Keystore」「save secret」「encrypted storage」「store credentials」「sensitive data storage」。次の用途には使用しない：一般的なファイルストレージ（maui-file-handling を使用）、SQLite データベース（maui-sqlite-database を使用）、認証フロー（maui-authentication を使用）。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。