Skills

配置 Celigo 连接和 iClient —— 用于向外部系统进行身份验证的凭据和配置对象。在创建或编辑连接、选择认证方式、设置 OAuth、管理 iClient（共享凭据存储）或排查连接问题时使用。

E

elasticsearch-authn

elastic / agent-skills

使用原生、基于文件、LDAP/AD、SAML、OIDC、Kerberos、JWT 或证书领域向 Elasticsearch 进行身份验证。适用于使用凭据连接、选择领域或管理 API 密钥。假设目标领域已配置完成。

O

owasp-security

hoodini / ai-agents-skills

遵循 OWASP Top 10 实施安全编码实践。用于防止安全漏洞、实现身份验证、保护 API 安全或进行安全审查。提到 OWASP、安全、XSS、SQL 注入、CSRF、身份验证安全、安全编码或漏洞时触发。

S

swift-security

dpearson2699 / swift-ios-skills

在处理 iOS/macOS Keychain Services（SecItem 查询、kSecClass、OSStatus 错误）、生物识别认证（LAContext、Face ID、Touch ID）、CryptoKit（AES-GCM、ChaChaPoly、ECDSA、ECDH、HPKE、ML-KEM）、Secure Enclave、安全凭据存储（OAuth 令牌、API 密钥）、证书固定（SecTrust、SPKI）、跨应用／扩展共享 keychain、从 UserDefaults 或 plist 迁移机密信息，或 Apple 平台上的 OWASP MASVS/MASTG 移动合规时使用

O

oauth

vercel-labs / portless

配置 OAuth 提供方（Google、Apple、Microsoft、Facebook、GitHub 等），使其可与无端口的本地开发 URL 配合使用。设置 OAuth 重定向 URI、修复“redirect_uri_mismatch”或“invalid redirect”错误、为本地开发配置登录提供方，或提供方拒绝 .localhost 子域名时使用。触发语句包括“Oauth 在无端口模式下无法工作”“重定向 URI 不匹配”“Google/Apple/Microsoft 本地登录失败”“为本地开发配置 OAuth”，或任何涉及无端口域名 OAuth 回调 URL 的任务。

S

security-scan

codewithmukesh / dotnet-claude-kit

对 .NET 应用进行 6 层深度安全扫描：存在漏洞的包、密钥检测、OWASP 代码模式、认证配置、CORS 策略和数据保护。输出带严重等级评定和具体修复步骤的发现。以下情况应加载此技能：「安全扫描」「安全审计」「检查漏洞」「查找密钥」「OWASP」「认证审查」「CORS 检查」「安全评审」「渗透测试准备」「CVE 检查」「漏洞扫描」「硬编码密码」「数据保护」「安全态势」。

C

compliance-tracking

anthropics / knowledge-work-plugins

跟踪合规要求并做好审计准备。当用户提及“合规”“审计准备”“SOC 2”“ISO 27001”“GDPR”“监管要求”，或需要协助跟踪、准备或记录合规活动时触发。

A

authsome

agentrhq / authsome

用于访问外部服务/CLI/API，例如 Gmail/gh/Github/Stripe 等；或在运行会发起出站 HTTP 调用的 bash 命令、脚本或 curl/wget 时使用。直接发出 HTTP 请求，网关会自动注入凭据。

A

authentication

codewithmukesh / dotnet-claude-kit

ASP.NET Core 的身份验证与授权。涵盖 JWT 承载令牌、OpenID Connect、ASP.NET Identity、授权策略、基于角色和声明的授权，以及 API 密钥认证。在实现登录、保护端点、设计授权规则时，或当用户提到 "auth"、"JWT"、"bearer token"、"OIDC"、"OpenID Connect"、"Identity"、"claims"、"roles"、"authorize"、"RequireAuthorization"、"API key"、"cookie auth" 时加载此技能。

C

configuration

codewithmukesh / dotnet-claude-kit

.NET 10 应用的配置模式。涵盖 Options 模式、IOptionsSnapshot 与 IOptions、机密管理和基于环境的配置。在设置应用配置、管理机密、绑定配置节，或当用户提到 "configuration"、"appsettings"、"Options pattern"、"IOptions"、"IOptionsSnapshot"、"secrets"、"user secrets"、"environment variables"、"connection string" 或 "config binding" 时加载此技能。

S

shannon

unicodeveloper / shannon

面向 Web 应用和 API 的自主 AI 渗透测试工具。使用 Shannon 执行白盒安全评估：分析源代码、识别攻击向量，并运行真实漏洞利用来验证漏洞。触发词：“shannon”“pentest”“security audit”“vuln scan”。

E

elasticsearch-authz

elastic / agent-skills

管理 Elasticsearch RBAC：原生用户、角色、角色映射、文档级和字段级安全。适用于创建用户或角色、分配权限，或映射 LDAP/SAML 等外部域。

E

elasticsearch-audit

elastic / agent-skills

启用、配置和查询 Elasticsearch 安全审计日志。适用于设置审计日志、筛选事件，或调查登录失败等安全事件。

P

platform-architecture-analyze

forcedotcom / sf-skills

当开发者要求“审查架构”“运行 Well-Architected 检查”“审计此项目”“此项目的架构是否良好”，或希望以代码和元数据健康报告的形式全面评估安全性／Governor 限制／风险时使用。根据 file:line 证据评估可观察的标准（共享／FLS、批量化、SOQL 选择性、可打包性）；对无法检查的内容生成治理清单。只读，绝不编辑。单工具 Apex 扫描（dx-code-analyzer-run）时不要触发。

C

code-review

codewithmukesh / dotnet-claude-kit

基于 MCP 的 .NET 项目多维度代码评审。借助 Roslyn 分析工具检查反模式、诊断、引用和依赖图，并结合结构化的人工评审。以影响半径评分确定优先级——先处理数据访问、安全、并发和集成边界，风格问题排在最后——输出按严重程度分类的发现与可执行的修复建议。适用于：“review”“code review”“PR review”“review this”“review my code”“check code quality”“review changes”“what should I review”“review priorities”“blast radius”“critical path”。

S

security

markdown-viewer / skills

使用 PlantUML 语法和身份、加密、防火墙及合规性模板图标创建安全架构图。适用于 IAM 流程、零信任模型、加密管线和威胁检测架构。

V

verify

codewithmukesh / dotnet-claude-kit

为 .NET 项目运行一套完整的 7 阶段验证流程：构建、分析器、反模式检测、测试、安全性、格式与差异审查。每个阶段产出 PASS/FAIL 及可执行的输出，流程在出现严重失败时短路中止。同时也是验证策略的权威参考：针对某项变更应运行哪些阶段、质量门禁，以及修复重试循环。当用户说出 "verify"、"check everything"、"is this ready"、"pre-PR check"、"run all checks"、"quality gate"、"verification strategy"、"which checks should run"，或在完成一项功能或重构之后时使用。

E

elasticsearch-security-troubleshooting

elastic / agent-skills

诊断并解决 Elasticsearch 安全错误：401/403 失败、TLS 问题、API 密钥过期、角色映射不匹配和 Kibana 登录问题。用户报告安全错误时使用。

O

outdated

codewithmukesh / dotnet-claude-kit

.NET 解决方案的依赖健康报告：过时的 NuGet 包、存在漏洞的版本以及商业许可陷阱（MediatR、MassTransit、FluentAssertions、AutoMapper）——由 get_nuget_packages MCP 工具驱动。当用户说“outdated packages”“check dependencies”“stale packages”“package audit”“dependency health”“are my packages up to date”“license check”“vulnerable packages”“nuget audit”时调用。

S

sender-profile-architect

sentdm / sent-plugin

为多租户、多品牌和多渠道系统设计 Sent Sender Profile 架构。适用于 API 密钥范围限定、x-profile-id、隔离、继承、共享、计费、WABA、10DLC 活动、Webhook 或租户停用。

使用 evlog 在 TypeScript/JavaScript 应用中构建或审查审计追踪（管道、带类型的操作、拒绝、保留策略、合规式审查）。面向应用代码，不用于扩展 evlog 包本身。

C

check-npm

grafana / skills

审计 JavaScript/TypeScript 仓库的 npm、yarn 或 pnpm 配置以强化供应链安全：工具版本、生命周期脚本、不安全的依赖协议，以及最短发布时间 ≥3 天。当用户调用 /check-npm，或要求审计 Grafana 插件或 JS/TS 项目中的包管理器安全、生命周期脚本、git 依赖、ignore-scripts、min-release-age、allow-git、approvedGitRepositories、strictDepBuilds 或 blockExoticSubdeps 时使用。

K

kibana-audit

elastic / agent-skills

启用并配置 Kibana 审计日志，以记录已保存对象访问、登录和空间操作。适用于设置 Kibana 审计、筛选事件或关联 Kibana 与 ES 审计日志。

管理 Celigo API 令牌（accesstoken 资源）——用于验证传入 integrator.io REST API、自定义 API 和 MCP 服务的程序化调用的 Bearer 凭据。涵盖个人访问令牌（PAT）与账户级 API 令牌、最小权限范围与完全访问权限、先撤销再删除的生命周期、自动清除到期机制，以及避免在聊天中泄露令牌密钥。创建、设置范围、轮换、撤销或删除 API 令牌或 PAT，或区分 integrator.io API 令牌与连接的 OAuth 访问令牌时使用

通过 ECC 管理实验性 Nasiko CLI 的生命周期——只读状态检查、经同意后安装固定的合格版本并提供 dry-run 预览，以及经所有权验证后卸载；同时明确遥测和机密信息的边界。用户要求安装、检查或移除 Nasiko CLI，或确认其是否存在时使用。

C

configuring-connected-apps

forcedotcom / sf-skills

Salesforce Connected Apps 和 External Client Apps OAuth 配置，采用 120 分制评分。使用此技能配置 Salesforce 中的 OAuth 流程、JWT bearer 身份验证、Connected Apps 和 External Client Apps。以下情况触发：用户配置 OAuth 流程、JWT bearer 身份验证、Connected Apps、ECA，或处理 .connectedApp-meta.xml / .eca-meta.xml 文件。以下情况不要触发：为 callout 配置 Named Credentials（使用 building-sf-integrations）、审查权限策略（使用 deploying-metadata），或编写 Apex 令牌处理代码（使用 generating-apex）。

R

react-doctor

brianlovin / agent-config

诊断并修复 React 代码库的健康问题。在审查 React 代码、修复性能问题、审计安全或提升代码质量时使用。

C

cloud-network-security

elastic / agent-skills

管理 Serverless 网络安全（流量筛选器）：创建、更新和删除 IP 筛选器及 AWS PrivateLink VPC 筛选器。限制网络访问或配置专用连接时使用。

T

thermo-nuclear-review

cursor / plugins

对分支的变更进行全面的安全性与正确性审计。当请求 thermo nuclear、thermonuclear 或深度审查时使用，或用于关注 bug、破坏性变更、安全问题、devex 回归和功能开关泄漏的分支/PR 差异审计。

D

dpop-adoption

google / skills

在集成 Google OAuth 平台的 WebCrypto、Node.js ES6 和浏览器运行时中，实现并调试 OAuth 2.0 DPoP（RFC 9449）刷新令牌发送方约束。适用于配置不可导出的非对称密钥对（P-256）、为授权码交换和令牌刷新生成 DPoP Proof JWT，或处理 oauth2.googleapis.com/token 上的 400 use_dpop_nonce 挑战重试循环。不要用于未受约束的 OAuth 2.0 流程（刷新令牌未绑定到客户端密钥对），也不要用于 Google Cloud IAM/服务账号身份验证。

C

caido-mode

caido / skills

面向 Claude Code 的完整 Caido SDK 集成。通过 HTTPQL 搜索 HTTP 历史记录，使用经 Caido 代理的 curl 进行测试（将认证信息缓存在可复用的静态 curl 配置文件中），添加 match & replace 规则，并将交接内容整理为命名的回放会话和集合——全部通过官方 @caido/sdk-client 完成。建议使用 PAT 认证。

S

sent-webhook-engineer

sentdm / sent-plugin

端到端构建和调试 Sent v3 webhook 接收器，涵盖端点注册、HMAC 签名验证、重放拒绝、事件去重、重试和自动禁用行为、密钥轮换及投递日志排查。在处理 Sent webhook 事件、验证 x-webhook-signature、修复 401 或签名不匹配故障、恢复已禁用端点、选择 event_types 或 event_filters、轮换签名密钥，或解读 webhook 投递日志时使用。

C

convex-security-check

waynesutton / builder-skills

对 Convex 后端进行十分钟安全检查：本应为内部使用的公开函数、缺失的鉴权校验、未验证的参数、未做所有权校验就信任来自客户端的 ID、代码中的密钥。适用于合并 pull request 之前、新增公开函数之后，或用户说“quick security check”时。

C

cloud-access-management

elastic / agent-skills

管理 Elastic Cloud 组织访问权限：邀请用户、为 Serverless 项目分配角色，以及创建或撤销 Cloud API 密钥。适用于授予、修改或审计用户访问权限。

I

iam-helper-for-troubleshooting

google / skills

诊断、修复和管理 Google Cloud 上的身份与访问管理（IAM）访问问题。支持两种不同的操作模式：(1) 请求者流程：面向遇到访问拒绝的开发者（收集错误上下文、自助式 PAM JIT 激活、提升权限的开发者自助修复，或记录结构化工单）；(2) 处理者流程：面向拥有特权的管理员（权威的 Policy Troubleshooter 分析、拒绝策略豁免、最小权限角色发现，以及 PAM/IAM 配置）。

A

arize-compliance-audit

arize-ai / arize-skills

在审计 AI Agent 或 LLM 应用的法规合规性时调用此技能。涵盖 EU AI Act、GPAI Code of Practice、GDPR、NIST AI RMF、Colorado AI Act、HIPAA 和 ISO 42001。扫描代码库以查找合规差距，交叉引用 Arize 埋点以确认审计追踪覆盖范围，并针对所选框架生成可执行的整改清单。

D

django-access-review

getsentry / skills

Django 访问控制与 IDOR 安全审查。在审查 Django 视图、DRF 视图集、ORM 查询或任何处理用户授权的 Python/Django 代码时使用。触发关键词：「IDOR」「access control」「authorization」「Django permissions」「object permissions」「tenant isolation」「broken access」。

W

wp-abilities-verify

wordpress / agent-skills

验证 WordPress 插件的 Abilities API 注册：枚举各项能力，检查回调行为是否与每条注解的声明一致（对抗式检测「标为只读却实际写入」的问题），校验权限与 schema，并验证由 wp-abilities-audit 生成的审计文档。

A

auth0-quickstart

auth0 / agent-skills

为任意应用添加 Auth0 身份验证，但不确定该使用哪个 SDK 或技能时使用。它会检测项目的框架并转到相应的设置工作流——即使用户只说“为我的应用添加登录”或“设置 Auth0”，没有说明框架，也应将其用作入口。

I

iam-helper-for-policy-management

google / skills

简化 IAM 允许策略（v1）和拒绝策略（v2）的创建、修改和管理。管理 Resource Manager 资源（Organization、Folder、Project）及单个资源的访问控制。创建、更新、列出或删除 IAM 允许策略或拒绝策略时使用。访问被拒问题排查请勿使用（改用 iam-helper-for-troubleshooting）；临时特权访问请勿使用（改用 iam-helper-for-privileged-access-management）；也不适用于配置 VPC Service Controls 或管理网络防火墙规则。

D

dt-obs-kubernetes

dynatrace / dynatrace-for-ai

Kubernetes 集群、Pod、节点和工作负载监控。用于分析 K8s 健康状况、资源优化、Pod 故障、OOMKills、调度或安全态势。也用于 Kubernetes 运维事件，如 Pod 重启、OOM 事件、驱逐和集群事件历史。触发词：「Kubernetes pods」「K8s cluster health」「OOMKill」「pod restarts」「container CPU」「namespace resource usage」「over-provisioned pods」「privileged containers」「pod placement」「K8s node capacity」「running containers by cluster」「workload scheduling」「pod evictions」「K8s labels and annotations」「kubernetes events」「pod restart events」「OOM events」「K8s event history」。不要用于：解释已有查询、产品文档问题、AWS 特定资源的查询、服务级 RED 指标、分布式追踪或日志分析——请改用相关技能。

C

code-security

semgrep / skills

编写安全代码的安全准则。适用于编写代码、审查代码是否存在漏洞，或询问安全编码实践（如"检查 SQL 注入"或"安全审查"）。重要提示：编写或审查任何处理用户输入、身份验证、文件操作、数据库查询、网络请求、密码学或基础设施配置（Terraform、Kubernetes、Docker、GitHub Actions）的代码时，都应查阅此技能，即使用户未明确提及安全。当用户要求"审查我的代码"、"检查这是否有 bug"或"这安全吗"时也使用此技能。

W

wp-guard

amelnagdy / guard-skills

在 WordPress 代码（插件、主题、区块）发布之前对其进行审查。最好在 Agent 编写、编辑或评审涉及 WordPress API 的代码后主动使用：add_action/add_filter、短代码、自定义字段框、AJAX 处理器、REST 路由、WP_Query 或 $wpdb、小工具，或 WP-CLI 命令。当用户提出「审查这个插件」、「这样可以安全发布吗」、「把它做成可翻译的」、「优化这个查询」，或在「写一个插件」、「添加一个端点/短代码/自定义字段框」之类的任务之后使用。强制要求转义与清理、nonce 加权限检查、预编译数据库查询、优先使用核心 API、可翻译字符串，以及查询与缓存规范。不适用于 WooCommerce 特定的订单、商品或结账逻辑（使用 woo-guard）、非 WordPress 的 PHP、通用代码质量审查（使用 clean-code-guard）、测试代码审查（使用 test-guard）、服务器或托管配置，以及 WordPress 概念性问题。

E

experience-ui-bundle-mfa-configure

forcedotcom / sf-skills

为 Salesforce Experience Site 用户配置多因素认证（MFA）。触发条件：用户希望在社区上启用 MFA、为门户用户强制执行双因素认证、为 React Experience Site / Web App 添加 MFA、配置 ForceTwoFactor 权限、为外部用户创建 MFA 权限集，或排查登录时未出现 MFA 的问题。同时触发于：MFA community、two-factor portal、ForceTwoFactor permission set、MFA Experience Cloud、MFA React site、identity verification community、MFA experience site、ForceTwoFactor permissionset-meta.xml、MFA permissionset-meta.xml。不要触发的情况：为内部用户配置组织级 MFA（属于 Setup > Identity Verification）、构建自定义登录 UI 组件（使用 experience-ui-bundle-frontend-generate），或生成不含 MFA 上下文的通用权限集（使用 platform-permission-set-generate）。

C

code-review-pro

onewave-ai / claude-skills

对文件、模块、diff 或分支进行深度代码审查——发现安全漏洞（对应 OWASP Top 10:2025）、正确性缺陷、性能问题和可维护性问题——并返回按严重程度排序、附证据和具体修复建议的结论。当用户要求审查、审计或验证代码，询问“这个安全吗”“这里有什么问题”“找找 bug”，或希望在发布前做安全或性能检查时使用。若需在 GitHub pull request 上发布行级评论，请使用 git-pr-reviewer。

N

nushell-pro

hustcer / nushell-pro

全面的 Nushell 脚本最佳实践、惯用法、安全知识与基于证据的代码审查。适用于编写、审查、审计、调试或重构 Nushell（.nu）脚本、模块、自定义命令、管道、配置与测试。也用于 Bash/POSIX 到 Nushell 的转换以及 Nu 迁移问题，包括自定义补全、record-spread 标志、YAML、SemVer、清理与子进程诊断。

D

dt-obs-aws

dynatrace / dynatrace-for-ai

AWS 云资源监控，涵盖 EC2、RDS、Lambda、ECS/EKS、VPC 网络、负载均衡器、S3、DynamoDB、SQS/SNS，以及成本优化。适用于分析 AWS 基础设施、资源清单、安全合规、容量规划或成本节约。触发词：「显示 EC2 实例」「查找 RDS 数据库」「VPC 资源」「AWS 成本优化」「Lambda 函数」「ECS 服务」「安全组」「未挂载的 EBS 卷」「AWS 负载均衡器拓扑」「公开可访问的数据库」「AWS 仪表板」。不要用于解释已有查询、产品文档问题、通用的主机 CPU/内存指标（使用 dt-obs-hosts）、应用级链路追踪（使用 dt-obs-tracing）或日志分析（使用 dt-obs-logs）。

G

google-cloud-filestore-auditing

google / skills

跨项目审计 Google Cloud 上的 Filestore 实例，检查灾难恢复准备情况（缺少备份或备份过时）、安全访问治理（NFS 导出规则权限过宽、暴露于 0.0.0.0/0、缺少 ROOT_SQUASH）以及可靠性合规性（Physical Zone Isolation PZI 和 Physical Zone Separation PZS）。适用于评估存储健康状况、审计 NFS 导出权限、识别未受保护的文件共享或验证区域故障域。不适用于 Cloud Storage 存储桶、Persistent Disk 或 NetApp Volumes。

C

claude-security

anthropics / claude-plugins-official

Claude Security：扫描代码库（整个仓库或指定部分）、扫描变更（当前分支或拉取请求的差异，或单个提交），或建议补丁（将发现转化为有针对性的补丁文件，每个补丁都由一组 Agent 验证，可按需应用）。当用户要求使用 Claude Security 扫描、审计或检查代码，扫描代码变更，或修复 Claude Security 的发现时使用。

P

planetscale-mcp-agent-operating-model

planetscale / skills

配置围绕 PlanetScale MCP、Insights、架构建议和仓库工作的安全 Agent 行为，避免自主修改生产环境。

R

redis-security

redis / agent-skills

Redis 安全指南，涵盖身份验证（requirepass 和 ACL 用户）、TLS、基于 ACL 的最小权限访问控制、通过 bind 和 protected-mode 限制网络暴露、防火墙规则以及禁用危险命令。适用于将 Redis 部署到生产环境、为应用定义 ACL 用户、配置 TLS 连接、在防火墙后加固 Redis 实例，或对 Redis 部署进行安全加固审计时。

北森 HR CLI 共享基础设施。本 Skill 是所有 beisen-* 业务域 Skill 的前置依赖，提供 CLI 安装检查（仅在会话首次对话时执行）、SSO 认证登录（按需触发，由 CLI 返回 HTTP 401 + CLI_AUTH_005 驱动）、身份与权限说明、高风险操作门禁协议（exit 10，写方法上线后生效）、HR 数据分级展示策略、JSON 输出契约和通用错误处理策略。触发任何 beisen-* Skill 时，必须先读取本 Skill，确保环境就绪。

E

ethskills

austintgriffith / ethskills

当请求涉及 Ethereum、EVM 或区块链系统时使用。适用于构建、审计、部署智能合约，或与智能合约、dApp、钱包、DeFi 协议交互。涵盖 Solidity 开发、合约地址、代币标准（ERC-20、ERC-721、ERC-4626 等）、Layer 2 网络（Base、Arbitrum、Optimism、zkSync、Polygon），以及与 Uniswap、Aave、Curve 等 DeFi 协议的集成。包括 gas 成本、合约小数位、预言机安全、重入、MEV、跨链、钱包、从链上查询数据、生产环境部署、协议演进（EIP 生命周期、分叉跟踪、即将到来的变更）等主题。

O

owasp-security

agamm / claude-code-owasp

依据 OWASP Top 10:2025、ASVS 5.0、OWASP LLM 应用 Top 10（2026）和 OWASP Agentic 应用 Top 10（2026），审查代码中的安全漏洞并指导安全实现。适用于审查代码或 diff 中的安全问题、实现认证与授权、会话或加密、处理不可信输入、文件或 URL，以及加固配置、依赖或 CI，或构建 LLM 与 AI Agent 功能。

C

code-review-analysis

aj-geddes / useful-ai-prompts

进行全面的代码审查，涵盖最佳实践、安全检查和建设性反馈。适用于审查 pull request、分析代码质量、检查安全漏洞，或提出代码改进建议。

A

arize-admin

arize-ai / arize-skills

通过 ax CLI 管理 Arize 的用户、组织、空间、项目、角色、角色绑定、资源限制和 API 密钥。适用于企业管理工作流：邀请用户与离职移除、新团队入职、为 SAML/SSO 映射创建自定义角色、为用户分配角色、限制项目级访问，以及管理多租户架构的服务密钥。涵盖 ax users、ax organizations、ax spaces、ax projects、ax roles、ax role-bindings 和 ax api-keys。

E

experience-lwc-security-validate

forcedotcom / sf-skills

将此技能用作专门的 Lightning Web Security（LWS）验证器，检查 Lightning Web Component 包（`.js`、`.ts`、`.html`、`.css`、`.js-meta.xml`）——这是针对 LWC 的权威 LWS/Product-Security 审查，而非通用代码安全检查。它会生成按严重程度排序并附带代码级修复建议的问题列表，或根据 `lws-001`…`lws-023b` 规则目录生成 SARIF 2.1.0 JSON 评分报告。用户要求审查、审计或检查 LWC 组件的 LWS 合规问题并建议修复方案，为组件的 LWS/安全合规性评分，查找危险 DOM API 或受阻的接收端（`eval`、`Function`、`document.write`、`innerHTML`、`document.createElement('script')`、在全局作用域中赋值给 `window`/`globalThis`、不安全的 URL 方案），或生成 SARIF 安全报告时触发。通用非 LWC 安全审查、新建 LWC（使用 experience-lwc-generate）、无障碍（WCAG 2.2）、RTL/i18n 或 Apex/Aura/服务器端审查时不要触发。

R

running-code-analyzer

forcedotcom / sf-skills

运行 Salesforce Code Analyzer 扫描代码中的安全、性能、最佳实践和代码风格违规。支持所有引擎（PMD、ESLint、CPD、RetireJS、Flow、SFGE、ApexGuru）、目标（文件、文件夹、git diff）、类别和严重级别。也处理扫描后的分析：按引擎/严重级别/类别/文件筛选结果，并解释具体规则的含义。触发条件包括：用户说“扫描我的代码”、“检查安全问题”、“运行 PMD/ESLint”、“查找重复代码”、“分析 Flows”、“检查有漏洞的库”、“AppExchange 审核”、“检查我的 LWC”、“静态分析”、“代码质量”、“只显示安全违规”、“这条规则是什么”、“解释 ApexCRUDViolation”、“筛选结果”，或提到引擎/文件类型（.cls、.trigger、.js、.flow-meta.xml）。本技能适用于扫描、探索结果、理解规则以及列出可用规则。当用户想直接修复代码而不做扫描，或只询问安装/配置时，不要触发。

C

code-review

xtone / ai_development_tools

对 PR 和代码变更进行通用代码评审。按统一标准评估代码质量、安全性和设计，并判断 approve/reject。当用户提出“评审这个 PR”“做代码评审”“合并前检查”等请求，或执行 gh pr view 命令时使用。

N

netlify-access-control

netlify / context-and-tools

选择合适的 Netlify 站点保护层，并区分用户容易混淆的三个无关“auth”概念——应用用户登录（Netlify Identity）、站点加载限制（Password Protection / 项目可见性）和仪表板 SAML SSO。在需要为站点或 Deploy Preview 设置密码保护、将项目设为私有/公开、将站点限制为团队成员访问、要求通过 SSO 才能查看站点、设置公司级或内部应用 SSO、邀请用户加入私有项目，或确认哪个团队成员向私有站点发出请求时使用。也适用于受保护站点的 SSO 会话问题，例如“会话中途退出”、约一小时后出现 401，或令牌过期/刷新问题。不用于编写身份验证代码——应用登录设置请转到 netlify-identity