20-andruia-niche-intelligence-v2
针对特定行业注入法规、标准与领域知识的情报工作流（v2）。
▸ 推荐理由有助于快速获取行业准入与合规要点。
▸ 风险提示可能引用未经核实的行业信息或法规。
全部收录
相关性达标的全量 Skills（含未精选长尾）· 共 6848 个
10-andruia-skill-smith
用于设计和部署技能的工程流程与规范（旧版）。
▸ 推荐理由可作为参考或兼容旧流程与工具链。
▸ 风险提示可能包含上游脚本或未审查的部署步骤。
10-andruia-skill-smith-v2
指导设计、撰写并部署新技能的工程工作流与规范（v2）。
▸ 推荐理由适合团队快速产出符合标准的技能模版。
▸ 风险提示可能包含上游脚本或未审查的部署步骤。
00-andruia-consultant
AI 方案架构与实施路线的顾问型工作流技能（旧版）。
▸ 推荐理由可作为参考或兼容旧版流程与示例。
▸ 风险提示为上游仓库拷贝，可能含未审查依赖或版权问题。
00-andruia-consultant-v2
提供 AI 方案架构与实施路线的专家顾问型工作流技能（v2）。
▸ 推荐理由可快速生成项目路线与诊断建议，适合项目启动。
▸ 风险提示为上游仓库拷贝，可能含未审查依赖或版权问题。
web-scraping
使用浏览器自动化抓取网页并提取结构化数据，支持动态渲染与分页。
▸ 推荐理由能处理复杂动态站点，多页爬取适合大规模数据采集。
▸ 风险提示抓取外部网站可能触及合规或被封禁风险
page-analysis
分析网页内容与结构，输出页面组成、要点与交互元素说明。
▸ 推荐理由快速理解复杂页面结构，利于后续信息抽取或自动化决策。
▸ 风险提示会访问外部网页用于抓取与分析
form-filling
自动填写并提交网页表单，支持登录、注册与多步表单流程。
▸ 推荐理由节省重复人工输入，适合自动化用户流程与测试场景。
▸ 风险提示可能需要处理敏感凭据（登录信息），需妥善保护
file-download
在保留登录会话下下载网页文件（PDF/CSV/图片）并读取内容。
▸ 推荐理由便于抓取需认证的资源并做后续文档解析或存档。
▸ 风险提示会从外部站点下载文件并写入本地存储
e2e-testing
用浏览器自动化模拟用户操作并对网页应用做端到端测试。
▸ 推荐理由方便 QA/开发验证用户流程与回归场景的自动化执行。
▸ 风险提示会执行自动化脚本并访问外部页面
deep-research
跨多源调研并生成带引用的 Markdown 报告与结构化 JSON。
▸ 推荐理由适合需要系统化、可引用的深度调查与报告自动化。
▸ 风险提示会访问外部网站并在本地写入研究文件
accessibility-audit
按照 WCAG 检查网页的无障碍问题、ARIA 与键盘导航兼容性并给出报告。
▸ 推荐理由自动化发现常见可访问性问题，适合前端与 QA 流程。
▸ 风险提示运行 Python 代码并启动守护进程，可能拉取外部依赖或需要执行权限。
exploiting-xss-vulnerabilities
向候选输入注入唯一标记并通过响应与浏览器执行确认反射/存储/DOM XSS 漏洞。
▸ 推荐理由包含上下文绕过与 Playwright 执行验证，能确认真实可利用性。
▸ 风险提示会在目标上下文执行脚本并可能影响会话或数据，禁止在生产环境运行且需授权。
exploiting-ssrf-and-open-redirect
通过 OOB canary 和 Location 头检测动态确认 SSRF 与开放重定向的可利用性。
▸ 推荐理由使用 OOB 回调能实证盲 SSRF，减少误报并定位内网访问风险。
▸ 风险提示可能触发对外回调或探测内部网络，需授权、限定回调域并在隔离环境执行。
exploiting-sql-injection
对候选 URL/参数发起错误型、盲注与时延等多种 SQLi 探测，优先调用 sqlmap。
▸ 推荐理由结合 sqlmap 与回退脚本，涵盖多种注入检测手法，实用性强。
▸ 风险提示会发起真实注入与时延探测，可能影响数据库可用性，必须授权并隔离执行。
exploiting-path-traversal-upload
通过路径变形和可选标记文件上传验证路径遍历与危险扩展接收的实际可利用性。
▸ 推荐理由采用非破坏性检测与标记文件降低误报并限定影响范围。
▸ 风险提示启用破坏性选项可能上传可执行文件或写入 WebRoot，务必在授权隔离环境使用。
exploiting-broken-access-control
用普通用户令牌调用管理员接口或访问他人资源以验证访问控制缺陷可利用性。
▸ 推荐理由能将静态候选转为动态可利用性结论，降低误报率。
▸ 风险提示会对目标发起越权请求，须有授权并在隔离测试环境中运行。
exploiting-auth-session
对 JWT、会话和登录响应 Cookie 进行动态篡改与重放测试以确认可利用性。
▸ 推荐理由专用于内部渗透测试，能实证 JWT/会话缺陷是否可被利用。
▸ 风险提示仅限授权内测，可能发起真实攻击并泄露凭证或访问，会影响生产请在隔离环境执行。
detecting-xss-vulnerabilities
检测反射型、存储型与DOM XSS，判断输入输出是否做了正确的转义与上下文处理。
▸ 推荐理由能自动区分输出上下文并结合栈特性，适合内容渲染密集的站点审计。
detecting-ssrf-and-open-redirect
扫描用户控制的URL被用作服务器请求或重定向目标的SSRF与开放重定向问题。
▸ 推荐理由识别RestTemplate/WebClient及redirect模式，帮助发现内网/元数据泄露点。
detecting-sql-injection
检测字符串拼接与未绑定参数导致的SQL注入风险，覆盖MyBatis/JPA/JSP场景。
▸ 推荐理由结合规则与AI语境验证，能区分危险的${}用法与安全绑定，减少误报。
detecting-sensitive-data-exposure
检测代码与配置中硬编码凭证、日志与响应中泄露的敏感数据。
▸ 推荐理由覆盖多种文件类型并排除Vault/环境变量占位，能显著降低泄露风险。
detecting-path-traversal
检测文件下载/查看接口中可能因不当路径拼接被../滥用的路径遍历漏洞。
▸ 推荐理由定位易受攻击的路径拼接点，便于修复文件泄露风险。
detecting-file-upload-vulnerabilities
扫描文件上传功能中的扩展名、魔数、存储路径等导致恶意文件上传的弱点。
▸ 推荐理由同时支持Spring与JSP栈并包含常见绕过模式检测，适合防护上线前审计。
detecting-csrf-vulnerabilities
检测项目中缺失或错误配置的CSRF防护（含Spring/JSP场景）。
▸ 推荐理由能自动识别堆栈并验证token保护，节省手工逐处检查时间。
detecting-broken-access-control
自动检测Java Web项目中的IDOR、BFLA与强制浏览等访问控制缺陷。
▸ 推荐理由结合Semgrep规则与AI上下文验证，针对SQIsoft类Spring/JSP工程效果好。
detecting-auth-session-weaknesses
检测认证/会话/JWT 弱点，使用 Semgrep 与 AI 上下文验证误报。
▸ 推荐理由定位常见认证与会话配置缺陷，减少人工审查工作量。
▸ 风险提示需要访问源码与运行环境，可能暴露或读取敏感配置信息。
auditing-web-application-security
整合静态与动态扫描，AI 过滤误报并对有 URL 的漏洞实测确认并汇报。
▸ 推荐理由一键式全站安全审计并实测漏洞，适合发布前检查。
▸ 风险提示会对目标发起实际利用验证并可能下载/执行外部检测工具，请在授权环境运行。
doc-tdd-audit
对 TDD 文档做结构与内容审查并输出合并审计报告
▸ 推荐理由配合修复技能可用于 TDD 前的质量把关
doc-spec
生成面向实现的组件技术规范（SPEC），定义接口与数据模型
▸ 推荐理由用于在 TDD 前把组件契约与行为清晰写明
doc-spec-fixer
根据审计报告自动修复 SPEC 的结构、YAML、链接等
▸ 推荐理由把审计结果转为可提交的修复以收敛到通过状态
▸ 风险提示会变更文档并提交，需仓库写权限
doc-spec-autopilot
从 BDD/ADR/IPLAN 自动生成并验证组件 SPEC
▸ 推荐理由可批量生成 SPEC 并驱动审计↔修复收敛流程
▸ 风险提示会修改仓库文件，需写入权限与凭据
doc-spec-audit
对技术 SPEC 执行结构与内容审查并生成合并报告
▸ 推荐理由适合在 TDD 前做自动化质量门控与审查
doc-ref
生成支持 BRD/ADR 的自由格式参考文档，不参与追溯链。
▸ 推荐理由适合补充背景、策略与技术概览，不影响主流程质量门控。
doc-prd
从 BRD 创建结构化 PRD，定义功能、角色与验收标准。
▸ 推荐理由提供标准化 PRD 输出，便于产品与工程协作对齐。
doc-prd-fixer
根据审计报告自动修复 PRD 的结构、链接与内容问题。
▸ 推荐理由能把审计问题自动化修复，加速文档合格交付。
▸ 风险提示会修改文档内容，使用前建议备份并人工核验改动。
doc-prd-autopilot
从 BRD/提示或 IPLAN 自动生成、验证并修复完整 PRD。
▸ 推荐理由端到端生成与自动修复，适合批量产出与流水线化需求文档。
▸ 风险提示自动生成内容可能存在事实性错误，需人工复核。
doc-prd-audit
对 PRD 做结构化与内容质量审计并输出合并报告。
▸ 推荐理由一键生成审计报告，便于质量门控与后续修复流程。
doc-naming
校验 SDD 流中文档与元素的命名、ID 和标记合规性。
▸ 推荐理由确保文档 ID 与命名一致性，适合提交/编辑前的校验门槛。
doc-iplan
为 SPEC/TDD 生成可执行的实现计划与文件清单。
▸ 推荐理由把需求转为可复现的执行步骤，便于自动化执行与审计。
▸ 风险提示可能生成并执行 shell 命令，运行前需审查执行内容。