Skills
收录 101,174 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
全部
当用户明确要求“写/润色 NSFC 标书摘要”“生成中文摘要和英文摘要”或“把中文摘要翻译成英文摘要”时使用。输出中文、英文两个版本（英文必须是中文的忠实翻译版），同时输出标题建议（1 个推荐标题 + 5 个候选标题及理由）。中文摘要默认≤400 字符，英文摘要默认≤4000 字符。输出方式：将结果写入工作目录下的 `NSFC-ABSTRACTS.md`。不适用：用户只想翻译一段与标书无关的通用文本（应直接翻译）；用户只想写立项依据/研究内容/研究基础正文（应使用对应 nsfc 系列 skill）。
深入探讨所有主流包生态系统中依赖混淆与命名空间攻击的进攻方法论。涵盖利用公共与私有作用域包之间差异的 npm 作用域混淆，以及 registry 映射未能将内部作用域独占固定的 .npmrc 配置错误。讨论通过 --extra-index-url 解析顺序发起的 PyPI 命名空间攻击、在配置多个包源且无明确指令时的 NuGet 源优先级利用、制品解析按仓库顺序依次遍历的 Maven 与 Gradle 仓库排序、通过 GOPROXY 配置错误滥用 Go module proxy、Ruby gem 命名空间抢注，以及使用未限定镜像引用造成的 Docker 镜像标签混淆。提供使用安全回调（如经 interactsh 或 Burp Collaborator 的 DNS canary，以及不带破坏性载荷的 HTTP beacon）的完整概念验证方法论。涵盖通过 GitHub 仓库分析、错误信息采集、JavaScript source map 提取、锁文件解析、提及内部工具的招聘信息以及包清单检查来发现内部包名的侦察技术。直接引用并建立在 Alex Birsan 于 2021 年发表的依赖混淆开创性研究之上。每个生态系统小节均包含 registry 特定的利用机制、配置漏洞与用于项目报告的防御对策。
面向软件供应链攻击的全面进攻方法论，涵盖从侦察到利用的完整杀伤链。涉及 npm、PyPI 和 NuGet 生态中的依赖混淆，其中内部注册表覆盖允许攻击者注入可遮蔽私有依赖的恶意包。涵盖针对流行包的仿冒域名（typosquatting）技术、通过维护者账号接管或社会工程实施的受损包注入，以及通过 Makefile 注入、setup.py 安装钩子和 npm postinstall 脚本实施的构建系统攻击。延伸至 CI/CD 产物篡改（构建输出在传输中被替换或修改）、通过窃取或自签名证书滥用代码签名、通过提交注入或对受信任仓库强制推送实施的上游仓库入侵，以及容器镜像供应链攻击（包括基础镜像木马化和注册表混淆）。映射到 MITRE ATT&CK T1195.001（Supply Chain Compromise: Compromise Software Dependencies and Development Tools）和 T1195.002（Supply Chain Compromise: Compromise Software Supply Chain）。集成了 confused 用于依赖混淆扫描、dependency-check 用于已知易受攻击组件检测等工具。每个技术章节提供可复现的概念验证模式、面向防御者的检测指引，以及面向授权红队操作的演练安全执行说明。
OpenTofu（Terraform 的开源分支）指南与迁移。遇到以下情况时主动启用：(1) 安装 OpenTofu 和使用 tofu CLI；(2) 从 Terraform CLI 迁移到 OpenTofu；(3) Terraform 与 OpenTofu 的 provider 兼容性；(4) state 文件兼容性；(5) OpenTofu 专属功能（加密 state、动态 provider 配置）；(6) Terraform Registry 与 OpenTofu Registry 的对比；(7) 使用 OpenTofu 配置 CI/CD（GitHub Actions、Azure DevOps）；(8) HashiCorp BSL 许可证与 OpenTofu MPL 的对比；(9) 将 OpenTofu 与 Terragrunt 配合使用。提供迁移清单、CLI 命令映射、加密 state 设置、Registry 对比和 CI YAML 模板。
在 Rails 应用中实现 UUID 主键的专家指导。适用于以下场景：将 UUID 设置为主键、在 UUIDv4 与 UUIDv7 之间做选择、为 UUID 默认值配置生成器、编写使用 id colon uuid 的迁移、添加 UUID 外键、实现用于 URL 友好 ID 的 base36 编码、配置 PostgreSQL pgcrypto 或 gen_random_uuid、实现 SQLite 二进制 UUID 存储、选择主键类型、使用非顺序 ID、安全 ID、随机 ID，或任何超出自增整数范围的 ID 生成策略。
在 Micronaut 应用中添加或审查 Mongock MongoDB 数据迁移时使用，包括 Mongock runner/driver 选择、Micronaut Bean 装配、迁移扫描包、@ChangeUnit 类、锁/事务设置以及 Testcontainers 验证。以下请求应触发此项：在 Micronaut 中添加 Mongock 迁移；审查 Micronaut MongoDB 数据迁移；使用 Micronaut Data MongoDB 配置 Mongock change unit；为 Micronaut MongoDB 创建 Mongock change unit；审查 Micronaut 服务中的 Mongock 迁移顺序。属于 Plinth Toolkit
在 Rails 中使用 Action Mailbox 接收和处理入站邮件的专家指导。在设置入站邮件处理、将邮件路由到 mailbox、配置入口提供商（Mailgun、SendGrid、Postfix 等）、处理附件、退回邮件或用 fixtures 测试时使用。涵盖 "action mailbox"、"inbound email"、"receive email"、"process email"、"email routing"、"mailbox"、"incoming email"、"email processing"、"ingress"、"InboundEmail"。
在 Rails 中使用 Active Record Encryption 对静态敏感数据加密的专家指导。在为模型属性添加加密、轮换密钥、迁移未加密数据、查询加密字段或保护 PII 时使用。触发词："encryption"、"encrypt"、"encrypts"、"encrypted attribute"、"at-rest encryption"、"field encryption"、"key rotation"、"deterministic encryption"、"PII"、"sensitive data"、"encrypt column"、"encrypts macro"。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。