安全
安全审查、认证、权限和风险检查
Skills 列表
toss-securities
将Toss证券的查询类问题优先通过官方Open API（OAuth2）处理，若没有官方凭证，则回退使用tossinvest-cli的tossctl，以安全的只读流程查询账户、持仓、行情/股票/市场信息、订单查询。
nomadamassrt-booking
使用SRTrain库在韩国搜索、预订、查看和取消SRT车票。当用户询问SRT座位可用性、预订、取消或售罄重试计划时使用。
nomadamask-skill-setup
完成 k-skill 工具包全量安装后，配置并验证跨平台通用环境；随后可在取得用户明确授权的前提下，可选配置自动更新检查及 GitHub Star 关注。
nomadamasktx-booking
使用 korail2 + pycryptodome Python 包搜索、预订、查看和取消韩国 KTX 或 Korail 车票。当用户询问 KTX 座位、Korail 预订、列车变更、预订状态、剩余座位数、车厢座位或电源插座/好座位提示时使用。
nomadamas
insecure-defaults
检测因不安全默认配置（硬编码密钥、弱认证、宽松安全策略）导致的“故障开放”漏洞，这些漏洞使应用在生产环境中以不安全方式运行。适用于安全审计、配置管理审查或环境变量处理分析。
trailofbitsgraph-evolution
比较两个源代码快照（Git提交、标签或目录）的Trailmark代码图，揭示与安全相关的结构变化。能够检测文本差异无法发现的新攻击路径、复杂度变化、影响范围增长、污点传播变化和权限边界修改。适用于比较提交或标签之间的代码、分析结构演变、检测攻击面增长、审查审计快照之间的变化，或发现文本差异遗漏的安全相关变化。
trailofbitsmermaid-to-proverif
将描述加密协议的Mermaid sequenceDiagram转换为ProVerif形式化验证模型（.pv文件）。在需要生成ProVerif模型、形式化验证协议、将Mermaid图转换为ProVerif、验证协议安全属性（机密性、认证、前向安全性）、检查重放攻击或从序列图生成.pv文件时使用。
trailofbitsfirebase-apk-scanner
扫描 Android APK 以发现 Firebase 安全配置错误，包括开放的数据库、存储桶、身份验证问题和暴露的云函数。适用于分析 APK 文件中的 Firebase 漏洞、执行移动应用安全审计或测试 Firebase 端点安全性。仅限授权的安全研究。
trailofbitssharp-edges
识别易出错的API、危险配置以及导致安全失误的陷阱设计。用于审查API设计、配置模式、加密库易用性，或评估代码是否遵循“默认安全”和“成功之坑”原则。触发词：footgun、misuse-resistant、secure defaults、API usability、dangerous configuration。
trailofbits
pnpm
Node.js 包管理器，具有严格的依赖解析。在运行 pnpm 特定命令、通过 pnpm-workspace.yaml 配置工作区，或使用目录、补丁、覆盖、配置依赖项或全局虚拟存储管理依赖项时使用。
antfu
create-custom-agent
创建 VS Code 自定义代理文件（.agent.md），用于定义具有工具、指令和交接功能的专用 AI 角色。在搭建新的自定义代理、配置代理工作流或设置代理间交接时使用。
dotnetconvert-to-cpm
Convert .NET projects and solutions (.sln, .slnx) to NuGet Central Package Management (CPM) using Directory.Packages.props. USE FOR: converting to CPM, centralizing or aligning NuGet package versions across multiple projects, inlining MSBuild version properties from Directory.Build.props into Directory.Packages.props, resolving version conflicts or mismatches across a solution or repository, updating or bumping or syncing package versions across projects. Also activate when packages are out of sync, drifting, or inconsistent -- even without the user mentioning CPM. Provides baseline build capture, version conflict resolution, build validation with binlog comparison, and a structured post-conversion report. DO NOT USE FOR: packages.config projects (must migrate to PackageReference first) or repositories that already have CPM fully enabled.
dotnetnuget-trusted-publishing
Set up NuGet trusted publishing (OIDC) on a GitHub Actions repo — replaces long-lived API keys with short-lived tokens. USE FOR: trusted publishing, NuGet OIDC, keyless NuGet publish, migrate from NuGet API key, NuGet/login, secure NuGet publishing. DO NOT USE FOR: publishing to private feeds or Azure Artifacts (OIDC is nuget.org only). INVOKES: shell (powershell or bash), edit, create, ask_user for guided repo setup.
dotnet
printing-press-publish
将生成的 CLI 以 Pull Request 形式发布到 printing-press-library 仓库
mvanhorn
code-review-expert
以资深工程师视角对当前 Git 变更进行专业代码审查，检测 SOLID 违规、安全风险，并提出可操作的改进建议。
sanyuan0704code-review-expert
以资深工程师视角对当前 Git 变更进行专业代码审查，检测 SOLID 违规、安全风险，并提出可操作的改进建议。
sanyuan0704
hook-generator
Generate 6 clickbait-style LinkedIn hook variations for any topic. Two-line hooks built on the formula: a 40-char opening line, a 40-char bold contrast line. Includes digits, "How I" or "I" statements, and metrics. Use this skill whenever the user says "write me hooks", "hook ideas", "generate hooks", "I need a hook for a post about...", or pastes a topic and asks for openers. Fast output, no preamble.
charlie947
jetson-promote-image
Use to promote overlay files and built artifacts into the staged BSP image. Do NOT use to flash or build. Triggers: promote bsp image.
nvidia
security
使用 PlantUML 语法以及身份认证、加密、防火墙和合规组件图标绘制安全架构图。非常适合用于 IAM 鉴权流程、零信任模型、数据加密流水线和威胁检测架构等场景。
markdown-viewer
difit-review
A skill for reviewing a specific diff and showing the findings as comments inside difit (the diff viewer). Use it to review branch diffs, commit diffs, or GitHub PRs, then preload findings or code explanations into difit with `--comment` before launching it for the user.
yoshiko-pgdifit
Ask the user for a code review through difit after code changes.
yoshiko-pg
wecomcli-shared
wecom-cli 业务技能的公共前置检查、获取机器人及授权真人身份，以及通用输出约束。任何 wecomcli-* 技能准备执行 wecom-cli 命令前，都必须同时读取本技能，检查 CLI 是否安装、版本是否不低于 1.1.0，以及企业微信凭证是否已授权；仅在缺失、版本过低或未授权时执行安装或初始化。本技能还定义所有技能通用的 ID 类字段禁止外露约束。本技能不处理具体业务请求。
wecomteamomniverse-usd-performance-tuning
Top-level workflow skill for USD performance diagnosis and optimization. Handles slow loading, high memory, low FPS, and broad scene-optimization requests; delegates auth/runtime setup to Phase 0 owners.
nvidia
claude-to-im
将当前的 Claude Code 或 Codex 会话桥接到 Telegram、Discord、飞书/Lark、QQ 或微信，让用户可以在手机上与 Claude 聊天。用于：设置、启动、停止或诊断 claude-to-im 桥接守护进程；将 Claude 回复转发到即时通讯应用；任何包含“claude-to-im”、“bridge”、“消息推送”、“消息转发”、“桥接”、“连上飞书”、“手机上看claude”、“启动后台服务”、“诊断”、“查看日志”、“配置”等短语的请求。子命令：setup、start、stop、status、logs、reconfigure、doctor。不要用于：构建独立机器人、Webhook 集成或使用 IM 平台 SDK 进行编程——这些是常规编程任务。
op7418