Skills
收录 96,981 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
安全
设计并保护面向浏览器的 BFF 与后端 HTTP 入口点：为每条生产路由提供明确的公开/受保护访问分类，一个通过组合准备的端点注册器，在构造时即安装会话、Origin、Fetch Metadata、CSRF 和内容类型策略，在应用内部进行不依赖提供方的授权，受保护的 SSE 与 WebSocket 注册，浏览器会话协调，以及自动化强制门禁。适用于添加或审查 HTTP 端点、当租户或客户能通过某条路由看到他人数据、或某端点报告任何授权缺陷时，以及认证中间件、会话 cookie、CSRF 或 Origin 策略、实时流、登录/登出流程，或审计哪些路由是公开的时候。关于是否采用 BFF、粒度、聚合与上游身份中介，使用 bff-design；关于 BFF 路由的物理布局，使用 structure-codebase；关于 REST 语义、分页与版本控制，使用 api-design；关于 OAuth/OIDC 协议流程，使用 secure-oauth-oidc；关于端口与适配器实现，使用 hexagonal-architecture。
适用于用户要求评审代码、评审变更、评审某次提交、评审 PR、审计代码质量、检查安全问题或生成代码评审报告的场景。以下表述也会触发："review my changes"、"코드 리뷰"、"check my code"、"review the last commit"、"what do you think of this diff"、"compare branches"、"code audit"、"HTML 리뷰 보고서"、"styled review report"、"/code-review"、"$code-review" —— 即使用户没有明确说 "code review"。产出按严重程度标记的问题清单 Markdown 报告，并在 `.reviews/` 下生成自包含的双语 HTML 报告，在浏览器中打开。若只需 Markdown 产物，请使用 `code-review-md`。
审计应用程序源代码与配置中的密码学与密钥卫生问题：硬编码的 API key、被提交的 .env 文件、私钥、弱哈希、不安全的加密模式、不安全的随机数、错误的 KDF/密码哈希、JWT 签名错误、被禁用的 TLS 验证，以及危险的序列化。先运行无依赖的离线扫描器以获得高召回率的发现，再由模型确认影响并写出带有脱敏证据的具体修复方案。适用于审查处理加密、令牌、会话、证书或凭据的应用代码时；当被要求扫描硬编码密钥、暴露的 API key、弱加密、AES-ECB/CBC 误用、MD5/SHA1 密码哈希、不安全的随机令牌、verify=False、InsecureSkipVerify、rejectUnauthorized false、alg none JWT 或被提交的私钥时。不适用于仅针对 Terraform/Kubernetes 的审计（请使用 infra-security）、包安装钩子风险（请使用 supply-chain-security），或在安装前审查某个 Agent 技能（请使用 skill-security）。
用 GitLab Dependency Firewall 检查包 URL，让受支持的包管理器通过它运行，并用 glab 查看本地防火墙活动。适用于检查 npm、PyPI、Maven 或 RubyGems PURL；对受支持的包管理器包装器执行依赖策略；汇总 CI 日志；或排查 Dependency Firewall 退出码时。触发词：dependency firewall、glab df、glab dependency-firewall、package URL、PURL、package policy、ci-summary、blocked package、flagged package。
针对个人、公司、域名和 B2B 客户的开源情报。当用户想要调查、审查、研究或建立关于目标的档案时使用——诸如 "OSINT"、"due diligence"、"background check"、"research this person"、"look into [company/domain]"、"vet this prospect/vendor"、"what does X do"、"is this account worth pursuing"、"find me a contact at"、"who's the buyer for" 之类的短语，或任何开源调查任务。在报告前消解身份歧义，并按独立来源数量对每项声明进行分级。
逆向工程压缩、打包和混淆的浏览器/Node JavaScript——解开 webpack chunk、从 sourcemap 恢复源码、用 webcrack/synchrony/restringer 还原 obfuscator.io 的字符串数组和控制流混淆，并通过 Chrome DevTools 在运行中的 bundle 里定位签名或加密例程。当页面加载庞大的压缩 bundle、当代码充满 _0x 十六进制标识符和轮转字符串数组、当可访问到 .js.map、或当必须找出请求签名或 token 的计算位置时使用。
由 Supabase 维护的 Postgres 最佳实践，适用于在任何环境中运行的 Postgres。在编写或更改 Postgres 数据库中的任何内容之前，请加载此技能：创建或修改表和列（包括选择列类型）、模式设计、迁移和声明式模式文件、RLS 策略及其验证测试、索引、触发器、数据库函数、队列和定时任务（pg_cron、pgmq）、向量／语义搜索（pgvector），以及恢复转储（pg_restore）或导入数据。诊断慢查询、CPU 占用过高、超时、EXPLAIN 计划、连接耗尽、锁定、膨胀，或对错误用户或租户可见的行时，也请加载此技能。这不只是性能指南——模式、迁移、安全和 SQL 编写任务也需要遵循这些规则，即使只是更改一列或执行单个查询。
使用 glab 将 GitLab 凭据交换为短期 Artifact Registry 令牌，验证令牌身份，并配置包管理器身份验证。适用于检查 GitLab Artifact Registry 访问权限、获取临时注册表令牌，或为 GitLab Artifact Registry 配置 Docker、Maven、Gradle、npm、Yarn 或 sbt。触发词：artifact registry、glab artifact-registry、glab ar、get-token、token exchange、registry access status、artifact-registry login、Docker credential helper、Maven registry、Gradle registry、npm auth、sbt credentials。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。