Skills
收录 97,501 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
测试与质量
审计 Go 模块依赖：检测过时的包、检查已知漏洞、审查 go.mod 卫生、识别未使用或冗余的依赖，并评估依赖质量。在审计依赖、检查 CVE、清理 go.mod、升级模块或评估第三方包时使用。触发示例：“check dependencies”“audit deps”“go.mod review”“update modules”“vulnerability scan”“govulncheck”。不要用于代码级安全问题（改用 go-security-audit）或架构审查（改用 go-architecture-review）。
在 jp-executor 构建 Juspay 支付集成之后对其进行测试/验证。检测仓库现有的测试栈并复用（Playwright、Cypress、Jest、Vitest、pytest、supertest 等），若不存在则回退到内联 curl/bash。按风险优先级覆盖订单/会话创建、服务端到服务端的状态核对、webhook 签名 + 幂等性、各支付方式的流程载荷、约束边界与错误码路径 —— 按实际构建面覆盖后端与前端/SDK。最后给出可追溯性矩阵、PASS/CONCERNS/FAIL 质量门禁，以及一份书面测试报告。在 jp-executor 之后使用，或针对已构建的集成单独使用。
Dart 单元测试、Flutter widget 测试和 golden 文件测试的最佳实践，涵盖 group 与 test 命名、setUp 生命周期与隔离、使用 package:mocktail 进行 mock，以及共享的 pumpApp 辅助函数。在编写、修改或评审使用 package:test、package:flutter_test、package:mocktail 或 package:bloc_test 的测试（包括 golden）时使用，以及在没有指定任何 package 时使用：新增 golden 测试、matchesGoldenFile、为 golden 打标签或更新 golden、编写单元或 widget 测试，或新增测试辅助函数或 mock。单行的 golden 或 widget 测试请求也在范围内，包括在 “仅 Dart 代码” 的情况下；UI package 中的 widget 属于 ui-package 的范畴。当请求要求这些标准所禁止的做法时也使用它：package:mockito、用原始字符串测试标签代替 TestTag、内联的 pumpWidget(MaterialApp(...))、在 widget 测试中断言 padding、color 或字号，或测试之间共享状态。
WooYun 业务逻辑漏洞方法论——涵盖 6 大领域（认证绕过、授权绕过、支付篡改、信息泄露、逻辑缺陷、配置错误）的 22,132 个真实案例和 33 类漏洞。适用于对 Web 应用、API 或业务系统进行任何安全测试、审计或代码审查——即使没有明确的“安全”关键词。触发词：penetration testing、security audit、vulnerability、bug bounty、payment security、IDOR、password reset、weak credentials、unauthorized access、race condition、parameter tampering、code review、渗透测试、安全审计、漏洞挖掘、支付安全、越权、逻辑漏洞、业务安全、SRC、代码审计。也会在隐式意图下触发：“test this endpoint”、“find bugs”、“can I bypass this”、“帮我测测这个接口”、“这个参数能不能改”、“帮我找bug”。
定期对整个 OpenSpec 归档进行 lint，检查跨变更的决策漂移、索引/规格对账与结构性过度耦合——这是 QRSPI/OpenSpec 体系中其他任何东西都没覆盖的空白，因为其他所有漂移检查(accelint-onboard-openspec、accelint-architecture-doc、accelint-qrspi-apply 第 4 阶段)都只从单个变更自身产物向前看。当用户想要"run archive synthesis"、"lint the openspec archive"、"check for decision drift"、"audit the spec archive for contradictions"、"find stale specs"、"reconcile the specs index"、"check capability coupling"，或当 accelint-qrspi-archive 自己提出自上次 synthesis 运行以来已有 15 个以上变更归档时，使用本技能。当用户询问某个旧设计决策在之后所作的一切决策下是否仍然成立、specs/INDEX.md 是否仍与磁盘上实际的 spec.md 文件匹配，或某个能力是否已成为过度耦合的重构候选时，也使用本技能。本技能从不自动运行，也从不阻塞其他技能——它始终要么由人手动调用审计，要么是提出建议而由人明确接受。
使用 AI Evaluation Playbook（eval.playbook.org.ai；The Agency Fund 与 CGD 和 IDinsight，2026）回答有关评估 GenAI / AI 工具和产品的问题 —— 4 级框架（Model / Product / User / Impact）、Minimum Viable Evaluations、黄金数据集、LLM-as-judge、参与漏斗、护栏指标、层级关联。当 Ane 询问如何评估 AI 工具、聊天机器人或 GenAI 产品，"how do I know this AI is working"、"what should we measure for this AI tool"、"where do I start with AI evals"，或 MA/合作方的 AI 工具提案需要评估鉴定时使用。不适用于项目评估或 MEL 评估设计（/ann、/grill-mel、indicator-designer、evidence-synthesis 负责该领域），也不适用于评估者作为工作工具使用的 AI（wiki 页面 ai-mel-framework 负责该领域）。
在审计 Datex Studio 分支上的跨组件引用契约时使用——验证 hub、网格、表单、编辑器、选择器及其引用的对等组件是否正确连接。归纳出三类静默失败陷阱：错误的 Module/moduleId、不匹配的 configParameters（缺少已声明的 inParam、额外的未支持条目、绑定到未声明变量的值），以及流代码中使用但未在顶层 vars 数组中声明的组件变量。触发词："wire xxx into yyy"、"audit the reference contracts"、"fix the Module / moduleId"、"fix the configParameters mismatch"、"declare a hub/form/editor/grid var"、静默失败的下拉框 / 筛选器 / 对话框。
指导在测试中预置确定性的 Fusion Framework 模块状态——mockFramework、mockAppModules 以及各模块自有的 enableXMock 辅助函数（msal、service-discovery、context、bookmark、feature-flag、analytics、telemetry、http、app）——同时保留每个模块真实的 configurator、provider、validation 和 lifecycle。适用场景：登录模拟用户、预置 context/bookmarks/feature-flags、伪造 HTTP/OpenAPI 响应、选择 mock 边界、为自定义模块添加 mock。不适用场景：配置 vitest.config.ts、渲染 React 组件/hooks，或 Vitest Browser Mode 设置（使用 fusion-framework-testing）；dev-server 时在 dev-server.config.ts 中进行 API mock/代理（使用 fusion-developer-app）；后端/服务仓库 mock。
为首次使用者提供简短、价值优先的 Kitaru 导览，使用 Kitaru 仓库中的 PydanticAI returns agent 示例。当用户没有自己的 Agent 或轨迹、从 Kitaru 引导流程进入、要求演示、教程、快速开始或引导示例、需要克隆或准备快速开始示例、希望编码 Agent 在其判断会话之前准备轨迹注释，或想在了解完整调查方法之前先体验 Kitaru 的价值时使用。准备一次三会话的前端审查，让人给出判定，将一个被接受的发现转化为确定性评估器，并以一个获批的有界重放实验收尾。将真实 Agent、开放式探索和生产证据转交给 kitaru-investigation。
通过组建任务目录并运行 revmux CLI，执行受监督的多 Agent 代码审查，然后汇报或处理其发现的问题。revmux 会启动并监控并行运行的 claude 和 codex 子进程，具备停滞检测、重试、各 Agent 进度跟踪和完整运行存档；此技能负责撰写审查上下文、启动流程、读取返回的 JSON，并在修复后重新运行。它还可对已提交的问题、提案或讨论进行分类，而非审查差异；通过四方评审——事实依据、支持理由、反对理由和成本——并将维护者的六个回答及其背后的论据列出。它还包含自检模式，可读取以往轮次的结果，告诉用户记录对审查本身的说明——哪个阶段在筛选、哪个视角评判最严、各轮是否趋于一致——然后每次提出一项本地提示词文本修改建议，并给出对应数据。它会将拉取请求取到临时 worktree 中进行审查，然后清理环境。还可回答有关 revmux 本身的问题，包括配置档案、评审视角、任务目录、标志、JSON 结构、退出代码和运行存档。以下情况会触发：要求“revmux”、“run revmux”、“multi-agent review”、“supervised review”、“review with revmux”、“revmux this branch”、“revmux the last commit”、“revmux pr 123”、“revmux this PR”、“review PR 123 with revmux”、“run a revmux round”、“re-review after fixes”、“revmux it and show me”、“revmux this, I want to watch”、“run it visible”、“show me the review”、“triage this”、“triage issue 123”、“is this worth doing”、“should we accept this”、“should I close this”、“revmux self”、“self-improve revmux”、“tune revmux”、“revmux profiles”、“revmux lenses”、“what does revmux return”、“revmux exit codes”或“revmux task directory”。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。