- 📄 SKILL.md
sandbox
为了安全起见,在隔离的沙箱中执行命令。在运行不受信任的代码、系统命令或可能影响主机系统的操作时使用。从命令中自动检测正确的运行时(Python、Node、Rust、Go、Ruby 等)。
为了安全起见,在隔离的沙箱中执行命令。在运行不受信任的代码、系统命令或可能影响主机系统的操作时使用。从命令中自动检测正确的运行时(Python、Node、Rust、Go、Ruby 等)。
通过最佳实践、安全检查和建设性反馈来执行全面的代码审查。在审查拉取请求、分析代码质量、检查安全漏洞或提供代码改进建议时使用。 --- # 代码审查分析 ## 目录 - [概述](#overview) - [何时使用](#when-to-use) - [快速入门](#quick-start) - [参考指南](#reference-guides) - [最佳实践](#best-practices) ## 概述 系统的代码审查流程,涵盖代码质量、安全性、性能、可维护性以及遵循行业标准的最佳实践。 ## 何时使用 - 审查拉取请求和合并请求 - 合并前分析代码质量 - 识别安全漏洞 - 向开发人员提供建设性反馈 - 确保编码标准合规性 - 通过代码审查进行指导 ## 快速入门
ClawGuard v3 Auditor - 企业级 Skill 安全审计器,支持意图偏离检测、SAST、供应链安全、ML 异常检测。当用户要求审计、检测、安装前检查一个 Skill 的安全性时触发。
scrapingbee-cli 的安全监视器。监视审核日志中是否存在可疑活动。停止未经授权的计划。安装 scrapingbee-cli 后始终处于活动状态。
AI 代理堆栈的跨代理自检查。审核 Claude Code、Codex、OpenClaw 和 NanoClaw 中的技能、MCP 服务器、挂钩、插件、命令、凭证和内存文件。通过跨生态系统风险分析生成结构化清单和叙述性简报。当用户要求审核他们自己的设置、检查他们安装的内容、检查他们的代理堆栈安全状况或了解跨工具交互时使用。当用户随着时间的推移积累了技能/插件/MCP 服务器并希望了解其攻击面时使用。安装新技能或插件后使用。不要在安装前用于审查外部代码(即回购取证)。请勿用于主动攻击期间的事件响应。请勿用于修复或修补漏洞(forensify 是只读的)。
AI 原生代理运行时,具有类型状态强制 ORGA 推理循环、Cedar 策略授权、用于代理间治理的 CommunicationPolicyGate、ToolClad 声明性工具合约、知识桥、零信任安全性、多层沙箱、webhook 验证、markdown 内存、技能扫描、指标、调度、symbi init/run/up CLI 和声明性 DSL
API安全最佳实践和常见漏洞预防。对身份验证、输入验证、SQL 注入、XSS 和 OWASP Top 10 漏洞实施安全检查。在构建或修改 API 时使用。
服务器安全审核、强化和队列管理。跨 30 个类别(SSH、防火墙、Docker、TLS、HTTP 标头)的 457 项安全检查、CIS/PCI-DSS/HIPAA 合规性映射、24 步生产强化和 13 个 MCP 工具。通过 Coolify、Dokploy 和裸 VPS 模式支持 Hetzner、DigitalOcean、Vultr 和 Linode。安装: claude 插件 添加 kastell
应在提出实施计划、架构建议、代码审查结果或广泛技术问题的答案之前调用此技能。当要“推荐”、“建议”、“建议”、“设计”、“计划”或回答“应该如何”、“最好的方法是什么”、“哪种方法”时,要主动使用。对于多文件更改、重构建议和安全敏感建议是强制性的。
使用 brin API 扫描包、存储库、MCP 服务器、域、网页和代理技能是否存在安全威胁。在安装依赖项、访问 URL 或集成外部资源之前使用此技能。
运行多法学硕士委员会,进行对抗性辩论和交叉验证。使用它与规范的 llm-council 子代理和模式一起执行实施、架构、审查、安全、研究和规划任务。
当用户要求分析项目、了解技术堆栈、检测框架、检查使用的语言、识别运行时或包管理器或作为安全/漏洞扫描之前的第一步时使用
skill-sample/ ├─ SKILL.md ⭐ 必备:技能说明入口:用途 / 安装 / 用法 / 示例 / 依赖 ├─ manifest.sample.json ⭐ 推荐:机器可读元信息:用于索引 / 校验 / 自动填表 ├─ LICENSE.sample ⭐ 推荐:授权与使用范围:开源 / 限制 / 商用说明 ├─ scripts/ │ └─ example-run.py ✅ 可运行示例脚本:让用户导入后立刻验证“能用” ├─ assets/ │ ├─ example-formatting-guide.md 🧩 输出规范:统一排版 / 结构 / 风格 │ └─ example-template.tex 🧩 模板资源:报告/文档模板,快速生成标准产物 └─ references/ 🧩 参考资料库:方法论 / 结构指南 / 最佳实践 ├─ example-ref-structure.md 🧩 结构参考:章节框架 / 目录组织 ├─ example-ref-analysis.md 🧩 分析参考:常用套路 / 指标口径 └─ example-ref-visuals.md 🧩 视觉参考:图表规范 / 可视化建议
更多 Agent Skills 规范 详见Anthropic官方文档:https://agentskills.io/home
├─ ⭐ 必备:YAML Frontmatter(必须存在,放在文件最顶部) │ ├─ ⭐ name :技能唯一名;须符合命名规则,并建议与目录名一致 │ └─ ⭐ description :技能描述;建议包含触发关键词(便于检索/匹配) │ ├─ ✅ 可选:Frontmatter 扩展字段(规范允许,但非强制) │ ├─ ✅ license :许可证标识(也可配合单独 LICENSE 文件) │ ├─ ✅ compatibility :兼容性/运行环境要求(仅在确实有限制时写) │ ├─ ✅ metadata :任意键值对(如 author/version/source_url 等) │ └─ 🧩 allowed-tools :允许工具白名单(规范标注为 experimental) │ └─ ✅ 推荐:Markdown 正文(自由格式,但建议按“渐进式披露”组织) ├─ ✅ Overview / Purpose :一句话说明目标 + 不做什么(边界) ├─ ✅ When to use :触发条件/适用场景(让模型/用户知道何时调用) ├─ ✅ Step-by-step :步骤化流程(最好 3–6 步,保证可复现) ├─ ✅ Inputs / Outputs :输入格式、输出格式、产物位置(文件/文本/JSON等) ├─ ✅ Examples :至少 1 个可复制示例(越“能跑”越好) ├─ 🧩 Files & References :引用assets/、references/、scripts/(相对路径) ├─ 🧩 Edge cases :边界情况/限制(大文件、速率限制、失败回退) ├─ 🧩 Troubleshooting :常见错误与解决(依赖缺失、路径不对、权限问题) └─ 🧩 Safety notes :涉及联网/写文件/执行命令时给出提醒(建议写)
在 GitHub 和各类社区里,技能文件分散、难检索、也难判断是否可靠。SkillWink 把开源技能集中整理成可搜索、可筛选、可直接下载使用的技能库,让你更快找到“正好能用”的那一个。并且支持在SkillWink上直接上传skills。
我们提供 AI 语义搜索 + 关键字检索,支持 版本更新与多维排序(下载/点赞/评论/更新),并为每个技能提供 SKILL.md 开放标准与来源信息。你还可以在详情页直接 评论讨论、交流用法与改进建议。
快速上手:
支持下载与导入 skills(.zip/.skill),本地放置后即可生效:
~/.claude/skills/(Claude Code)
~/.codex/skills/(Codex CLI)
~/.gemini/skills/(Gemini CLI)
同一份 SKILL.md 跨平台通用。
你需要了解的:技能是什么、怎么运行的、怎么找、怎么导入、怎么判断可信、怎么参与共建。
这里的“skills(技能)”是一种可复用的任务能力包,通常包含 SKILL.md 说明(用途、输入输出、使用方法)以及可选的脚本/模板/示例文件。
你可以把它理解为:给 AI 助手或工具链用的“插件说明书 + 资源包”,可被反复安装与分享。
技能系统采用“渐进式披露”策略,高效管理上下文信息,具体流程如下:
发现阶段:系统启动时,智能体仅加载各技能的名称与简要描述——信息精简,足以判断其适用场景,避免冗余加载。
激活阶段:当任务需求与某技能描述匹配时,智能体才将对应的完整 SKILL.md 说明文档动态载入上下文。
执行阶段:智能体严格遵循文档指引执行操作,并按需调用关联文件或运行内置代码模块。
核心优势:该设计使智能体始终保持轻量高效,同时具备“按需扩展上下文”的能力,既保障响应速度,又确保复杂任务拥有充分执行依据。
推荐 3 种方式组合使用:
注:以上导入方式文件大小控制在10M之内。
常见路径如下(不同系统略有差异,以你本机为准):
同一份 SKILL.md 通常可以跨工具复用。你在 SkillWink 导入后,也可以查看“放置指引/安装说明”。
可以。很多技能本质是标准化说明 + 资源,只要目标工具支持读取该格式,就能共享使用。
比如:检索类技能 + 写作类技能 + 自动化脚本,形成“发现 → 处理 → 输出”的工作流。
一部分skills来源于公开的 GitHub 仓库。我们会筛掉低质量仓库(至少 2 星),并扫描基本质量指标,还有一部分是SkillWink平台的创作者独立上传的。作为使用者,在安装前应始终审查代码,对安全问题负责。
最常见原因是这几类:
我们会尽量避免。你可以用 排序 + 评论 让“好用的”更靠前: