Skills
收录 96,770 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
安全
扫描已安装的技能以排查安全风险，并审计平台配置。使用时机：用户请求安全扫描、安全分析、技能审计、OpenClaw 健康检查、配置审计、安全基线检查、安装前、安全检查、供应链安全检查，或询问“这个技能安全吗”。触发短语：“security scan”“安全扫描”“安全分析”“风险评估”“安全体检”“skill audit”“配置审计”“安全基线”“skill安全扫描”“检查skill风险”“这个skill安全吗”“安装前检查”“能不能装这个skill”。
在执行之前验证计划、设计和实现，以防代价高昂的失误。涵盖架构评审、安全审计、可扩展性评估、成本分析、合规检查和风险识别。产出带有具体补救步骤的 go/no-go 决策。触发条件包括 "review this plan"、"validate architecture"、"check for mistakes"、"is this production ready"、"audit this design"、"what could go wrong"、"pre-flight check"、"build review"、"quality gate"、"risk assessment"、"cost estimate" 或 "compliance check"。
在 React/Vite、Next.js App Router 和 Cloudflare Workers 应用中集成 Clerk 身份验证。涵盖 ClerkProvider 设置、用于受保护路由的 clerkMiddleware 和 createRouteMatcher、使用 @clerk/backend verifyToken 进行令牌验证、用于 RBAC 的自定义 JWT 模板和会话声明（user.public_metadata、org_id、org_role）、通过 @hono/clerk-auth 集成 Hono、shadcn/ui 身份验证组件，以及使用 @clerk/testing、+clerk_test 邮箱和 424242 OTP 进行 Playwright E2E 测试。记录了 11 个常见陷阱：缺失 Clerk Secret Key、JWKS 缓存竞态、缺少 authorizedParties 的 CSRF 风险、Core 2 导入路径变更、JWT 大小限制、ClerkProvider 不能用作 JSX 组件、async auth() 的困惑，以及 Vite 开发环境 431 头部错误。在向项目添加 Clerk、保护路由、验证令牌、构造 JWT 声明、测试身份验证流程或调试 Clerk 身份验证错误时使用。
管理 Google Play 开发者账号用户、权限、授权或测试人员时使用。无论用户是否明确说“用户管理”，只要提及 gpc users、gpc testers、gpc grants、开发者账号权限、用户角色、邀请用户、移除用户、权限授权、按应用授权、独立授权、测试人员组、Beta 测试人员、内部测试人员、Alpha 测试人员、Google Group 测试人员、测试人员 CSV 导入、团队管理、访问控制或用户审计，都必须使用此技能。用户希望邀请团队成员加入 Play Console、更新现有用户权限、独立于用户管理各应用授权、管理应用测试人员、从 CSV 文件导入测试人员，或审计谁有权访问开发者账号时也触发。身份验证设置请参阅 gpc-setup；发布轨道管理请参阅 gpc-release-flow。
指导在硬件在环（HIL）测试台上对嵌入式与信息物理系统进行安全评估——测试台搭建、ECU/ECM 或 PLC 目标、总线接口（CAN/CAN-FD、LIN、汽车以太网、高层面的 Modbus）、故障注入与激励设计、仿真被控对象/环境集成、真实硬件上的攻击面监控、可复现的测试用例、实验室安全联锁，以及面向固件与车辆安全团队的证据留存。适用于 HIL 安全测试、ECU 安全评估、CAN 总线安全、PLC HIL 测试、故障注入实验室、嵌入式硬件安全——不适用于 Web/API 渗透测试（web-pentester）、仅网络的渗透测试（network-pentester）、仅恶意软件/二进制逆向（reverse-engineer）、SOC 运营（soc-analyst）、AI 红队（ai-redteam）、涉密 ISSO 文书工作（information-systems-security-officer-classified-specialist），或无硬件的纯软件 CI（build-validator）。
用于身份验证的 JSON Web Tokens。涵盖令牌结构、签名与校验。适用于无状态身份验证。使用时机：用户提到 "JWT"、"token authentication"、"access token"、"refresh token"，或询问 "stateless auth"、"token signing"、"token validation"。不适用于：基于会话的身份验证（使用 session management）、OAuth 流程（使用 oauth2 skill）、NextAuth.js（使用 nextauth skill）
使用最新文档和完整使用指南，构建、审查、调试、配置、迁移、教学或规划 Permix 类型安全权限。适用于 permix、createPermix、setup、check、template、dehydrate、hydrate、isReady、isReadyAsync、~all/~any、ValidateDefinition、Rules、ReBAC closures、permix/react、permix/vue、permix/solid、permix/svelte、permix/next、permix/tanstack-start、createSetupHandler、permix/express、permix/hono、permix/elysia、permix/fastify、permix/node、permix/server、permix/trpc、permix/orpc、permix/nest、permix.guard、@Check、permix/drizzle、permix/effect，以及 Permix v3 到 v4 迁移。
区块链智能合约专家，擅长 Solidity、EVM、安全模式和 gas 优化。当提及 “smart contract, solidity, ethereum, evm, contract, web3, gas optimization, upgradeable contract, reentrancy, solidity, ethereum, smart-contracts, evm, web3, blockchain, defi, nft, security, gas” 时使用。
指导 SOC 运营——告警分级、SIEM/EDR 调查、信息富化、剧本执行、误报关闭、升级决策，以及检测调优反馈。适用于处理 SOC 队列、调查可疑告警、关联事件、记录分析师笔记，或决定升级还是关闭——不适用于已声明的安全事件指挥、时间线、证据保全或监管沟通（incident-responder）、安全事件项目设计（incident-management-engineer）、二进制/固件逆向（reverse-engineer）、红队运营（red-team-specialist），或企业安全战略（cybersecurity）。
当用户要求 "query Supabase"、"list Supabase tables"、"get Supabase schema"、"search Supabase records"、"check Supabase database"、"Supabase auth"、"Supabase authentication"、"RLS policy"、"row level security"、"Supabase foreign key"、"table relationships"、"Supabase join"、"Supabase filter"、"Supabase pagination"，或需要关于 Supabase 数据库模式、认证流程、RLS 策略或查询最佳实践的指导时，应使用此 skill。
在管理 Tailscale mesh VPN 网络时应使用本技能。当用户要求"check tailscale status"、"list tailscale devices"、"ping a device"、"send file via tailscale"、"tailscale funnel"、"tailscale serve"、"create auth key"、"check who's online"、"tailscale exit node"、"Magic DNS"，或提及 Tailscale 网络管理、tailnet 操作或 VPN 连接时使用。
安全研究元思考方法论 - 从先知社区 5600+ 篇安全文档中提炼的漏洞挖掘方法论框架。使用此技能的情况：- 进行漏洞挖掘和安全研究时，需要系统化的思考框架 - 分析特定类型漏洞（Web 注入、反序列化、二进制、域渗透等）的攻击路径 - 需要了解绕过防护措施（WAF、EDR、沙箱）的思维模式 - 进行代码审计需要 Source-Sink 分析方法论 - 红队攻防需要完整攻击链规划 - CTF 竞赛需要快速解题思路 - 逆向分析恶意软件需要方法论指导 触发条件：漏洞挖掘、安全研究、渗透测试、代码审计、红队攻防、CTF、逆向分析、WAF 绕过、免杀、提权、横向移动、域渗透、反序列化、二进制安全、Fuzzing
面向移动用户的的企业 WLAN —— RF/站点勘测、AP 布点、802.11（Wi-Fi 5/6/6E/7）、信道/功率规划、SSID/VLAN 分段、WPA3/802.1X/RADIUS、访客/强制门户、漫游（802.11k/r/v、频段引导）、高密度与 mesh/室外、LAN/SD-WAN 边缘集成、故障排查（SNR、DFS、CCI）。当用户询问 Wi-Fi、无线移动性、WLAN 设计、无线勘测、AP 布点、802.11、Wi-Fi 6、Wi-Fi 6E、漫游、802.11k、802.11r、频段引导、WPA3、802.1X、企业无线、高密度 Wi-Fi、信道规划、RF 干扰、无线故障排查、Aruba、Meraki 无线或 Cisco 无线时应使用此 skill —— 不适用于蜂窝 RAN/5G 核心网、MPLS/BGP 骨干网（network-backbone-architect）、SD-WAN 叠加（sd-wan-engineer）、仅云 VPC（cloud-architect）、仅 MDM 或 OT ISA 无线（scada-ics-cyber-security-specialist）。
阿里云云防火墙 ACL 规则只读诊断助手。**触发场景**：诊断 ACL 规则不生效、排查互联网/NAT/VPC 防火墙流量问题、查询流量日志、查看命中规则、获取配置指导（控制台手动操作）。**支持的防火墙类型**：互联网防火墙、NAT 边界防火墙、VPC 边界防火墙 **关键词**：云防火墙规则不生效、互联网防火墙 ACL 诊断、NAT 防火墙策略不生效、VPC 边界防火墙规则诊断、防火墙规则诊断 ⚠️ **请勿使用**于 WAF 问题——请改用 alibabacloud-waf-rule-management skill。仅提供文本形式的控制台指导。仅做查询和诊断，不做配置变更。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。