基于OWASP Top 10框架的专业代码安全审计工具，提供漏洞检测、安全认证实现和防护方案，适合开发团队构建纵深防御体系。

基本信息

• 技能名称?Security Auditor
• 中文名称?OWASP安全审计与漏洞防护专家
• 作者?jgarrison929
• 分类?专业技能
• 版本?1.0.0
• 标签?security, owasp, vulnerability-assessment, authentication, authorization, input-validation, cryptography, xss-prevention, sql-injection, jwt, oauth, csp, cors, penetration-testing, secure-coding, nodejs, typescript

使用方法

使用说明
核心功能
Security Auditor是一款面向现代Web应用的专业安全审计技能，基于OWASP Top 10 2021标准构建完整的安全审查框架。核心能力覆盖六大维度：
漏洞检测与修复 ：系统性地扫描Broken Access Control、Cryptographic Failures、Injection、XSS等十大类漏洞，每类均配备「错误代码示例→安全修复方案→检查清单」的三段式指导，降低安全实践的认知门槛。
认证与授权工程 ：提供JWT最佳实践（HS256算法、15分钟短时效令牌、aud/iss校验）、Cookie安全配置（HttpOnly/Secure/SameSite三元防护）以及基于Redis的滑动窗口限流实现。
输入验证体系 ：内置Zod Schema验证模板、文件上传Magic Bytes校验、参数化查询防御SQL注入等可复用代码模式。
安全基线配置 ：预置CSP、HSTS、X-Frame-Options等7项安全Headers的Next.js配置方案，以及.env密钥管理规范。
依赖风险管理 ：集成npm audit工作流与漏洞组件识别指引。
结构化审计报告 ：强制输出Critical/High/Medium/Low四级风险分级报告，包含漏洞分类（A01-A10）、文件定位、修复建议与风险描述。
显著优点
框架完整度高 ：覆盖SDL（安全开发生命周期）中的编码、审查、测试三阶段，而非仅做静态扫描
代码即文档 ：TypeScript/Node.js生态的实战代码占比超60%，可直接复制到生产环境
分级响应机制 ：Critical级要求立即修复，Low级仅建议关注，匹配敏捷团队的迭代节奏
防御纵深设计 ：从输入验证→业务逻辑→数据持久化→传输层→浏览器端的多层防护
局限性与风险
语言生态局限 ：示例代码深度绑定TypeScript/Node.js/Next.js/Prisma技术栈，Java、Python、Go开发者需自行迁移
静态分析边界 ：无法替代动态应用安全测试（DAST）或渗透测试，复杂业务逻辑漏洞（如竞争条件）需人工判断
CSP配置权衡 ：示例中的 unsafe-eval / unsafe-inline 为开发便利保留，生产环境需收紧
无自动化集成 ：未提供CI/CD插件或IDE扩展，审计流程依赖人工触发
适用人群
全栈开发者：需在编码阶段植入安全实践
技术负责人：建立团队安全Review Checklist
安全工程师：作为手工审计的标准化辅助工具
潜在风险
工具输出基于模式匹配和规则库，可能产生误报或漏报；生产环境部署前仍需结合Snyk、CodeQL等专业工具进行交叉验证。此外，安全Headers的严格配置可能导致第三方脚本（如分析工具、客服组件）加载异常，需充分测试后再上线。

一站式加密资产 CLI 工具，支持多链钱包追踪、CEX 账户整合与 Polymarket 预测市场，适合需要实时掌握链上与链下持仓的活跃投资者。

基本信息

• 技能名称?Test
• 中文名称?加密资产终端，链上链下尽掌握
• 作者?arein
• 分类?专业技能
• 版本?0.0.1
• 标签?crypto, portfolio, defi, blockchain, trading, cli, wallet, cex, polymarket

使用方法

使用说明
核心功能
Onchain CLI 是一款面向加密货币投资者与开发者的命令行工具，提供四大核心能力：

1. 实时市场数据 ：支持 price 查询代币价格、 markets 查看市场趋势，可对接 CoinGecko 与 CoinMarketCap 双数据源
2. 多链钱包分析 ：通过 DeBank API 覆盖 15+ EVM 链（含 Ethereum、Base、Arbitrum 等），通过 Helius 支持 Solana 主网完整生态，自动识别地址类型并解析 DeFi 头寸
3. CEX 账户整合 ：原生支持 Coinbase 与 Binance API，可同步交易所余额与交易历史，实现链上链下资产统一视图
4. 预测市场接入 ：直接查询 Polymarket 热门话题与具体市场详情，满足信息交易需求
   显著优点
   Agent 优先设计 ：全局 --json 输出、结构化退出码、可配置默认钱包，专为自动化脚本与 AI 代理优化
   零配置启动 ：单条 onchain setup 完成交互式初始化，降低技术门槛
   双保险数据源 ：市场数据支持主备 API 切换，关键功能具备降级能力
   潜在局限
   第三方 API 依赖 ：DeBank、Helius 等核心功能依赖外部服务，需自行申请 API Key 并承担速率限制
   CEX 覆盖有限 ：仅支持 Coinbase/Binance，缺乏 OKX、Bybit 等主流交易所
   无本地密钥管理 ：API Key 以明文存储于 ~/.config ，无硬件钱包或密钥加密机制
   适合人群
   活跃 DeFi 用户与多链投资者
   需要自动化 portfolio 报告的开发者/机构
   关注预测市场的信息交易者
   常规风险提示
   API Key 泄露可能导致资产风险，建议配置只读权限并定期轮换
   依赖中心化 API 服务商，存在数据延迟或中断可能
   价格数据仅供参考，不构成投资建议

专业信息图生成器，支持21种布局×21种视觉风格自由组合，自动分析内容并输出出版级可视化大图

基本信息

• 技能名称?Baoyu Infographic
• 中文名称?21×21种布局风格，一键出版级可视化
• 作者?jimliu
• 分类?专业技能
• 版本?1.103.2
• 标签?visualization, infographic, image-generation, content-design, layout-engine, prompt-engineering

使用方法

使用说明
核心用法
baoyu-infographic 是一个结构化信息图生成工具，采用「布局（信息结构）× 风格（视觉美学）」双维度设计体系。用户只需提供内容或主题，工具自动完成内容分析、布局推荐、风格匹配、提示词生成和图像输出全流程。
典型使用场景 ：
时间线/历史事件可视化 → linear-progression + craft-handmade
产品功能高密度说明书 → dense-modules + pop-laboratory
教育科普图解 → hub-spoke + hand-drawn-edu
A/B对比分析 → binary-comparison + corporate-memphis
显著优点
专业级输出质量 ：21种布局覆盖从线性叙事到空间映射的全场景信息架构，21种风格涵盖手工感、科技感、复古风等多元美学
智能组合推荐 ：内置关键词快捷键（如"高密度信息大图"自动匹配 dense-modules + 实验室/手账/波普三种风格），降低决策成本
严格确认机制 ：默认强制用户在生成前确认布局×风格、画幅比例、语言和图像后端，避免误操作
可追溯工作流 ：自动生成 analysis.md 、 structured-content.md 、 prompts/infographic.md 等中间文件，支持复现和迭代
多后端兼容 ：支持 Codex imagegen 、Hermes image_generate 、自定义 baoyu-imagine 等多种图像生成后端
潜在缺点与局限性
依赖外部图像后端 ：本身不内置图像生成能力，需配置或安装额外后端才能出图
确认步骤不可绕过 ：除非用户显式使用 --no-confirm 或等效指令，否则每次必须人工确认，批量自动化受限
中文内容支持待验证 ：风格库以英文描述为主，中文语义下的风格适配效果需实测
布局/风格组合爆炸 ：441种理论组合中，仅约20种有官方推荐配对，新手可能选择困难
适合人群
内容创作者、教育工作者、产品经理需要快速将复杂信息转化为视觉材料
对信息架构有一定认知，能理解和选择「漏斗」「冰山」「枢纽辐射」等抽象布局的用户
追求出版级输出质量，愿意接受多步骤确认流程的专业场景
常规风险
内容泄露风险 ：若输入含敏感数据，分析文件和提示词文件会持久化存储到本地目录，需手动清理
后端切换风险 ： preferred_image_backend: auto 模式下，运行时可用后端变化可能导致输出风格不一致
文件覆盖风险 ：虽实现了备份重命名机制，但高频使用下备份文件堆积可能造成目录混乱
参考图片版权 ：使用 --ref 传入外部图片指导风格时，需注意原图的授权许可

AI漫画创作工具，基于CellCog引擎实现角色一致性面板与视觉叙事，支持日漫、美漫、条漫等多种格式

基本信息

• 技能名称?Comi Cog
• 中文名称?AI漫画创作，角色始终如初
• 作者?nitishgargiitd
• 分类?其他
• 版本?1.0.11
• 标签?ai-image-generation, comics, manga, storytelling, character-design, visual-narrative, cellcog, webtoon

使用方法

使用说明
核心功能
Comi Cog 是一款专注于AI漫画与漫画创作的生成工具，由CellCog提供底层图像生成能力。其核心定位在于解决漫画创作中最棘手的 角色一致性 问题——确保同一角色在数十个分镜中保持相同的面部特征、服装细节和整体辨识度。
显著优点

1. 角色一致性引擎 ：通过详细的角色描述（年龄、发型、瞳色、服装细节、标志性特征），系统能在多面板场景中保持人物外观稳定，这是普通AI图像工具难以实现的
2. 多格式原生支持 ：覆盖日漫（Manga）、美漫（American Comics）、网络漫画（Webtoon）、条漫（Comic Strip）、图像小说（Graphic Novel）五大主流格式，每种格式都有针对性的布局优化
3. 结构化创作流程 ：提供明确的分镜规划、情感表达、视觉流动设计指导，降低非专业用户的创作门槛
4. SDK集成友好 ：支持OpenClaw的fire-and-forget异步模式，也支持阻塞式同步调用，适配不同Agent工作流
   潜在局限
   依赖外部API ：必须配置CELLCOG_API_KEY，服务可用性受CellCog平台制约
   复杂叙事需团队模式 ：多页连续剧情或复杂叙事需要切换至 agent_team 模式，单Agent模式难以胜任
   文本生成限制 ：虽然支持对白气泡和音效字，但AI生成漫画中的实际文字可读性和排版质量未明确保障
   风格迁移风险 ：参考"Like One Piece style"等提示可能存在版权灰色地带
   适合人群
   独立漫画创作者需要快速原型验证
   网络作家将小说视觉化为条漫/分镜
   游戏开发者制作叙事型视觉物料
   内容创作者生产社交媒体漫画内容
   常规风险
   API密钥泄露导致额度盗用
   生成内容可能包含未授权的风格模仿
   角色一致性在超长序列（20+面板）中可能衰减
   垂直领域的专业漫画术语理解可能偏差

跨语言数据验证利器，涵盖 JSON Schema、Zod、Pydantic 及 API 边界校验，确保数据契约可靠、类型安全

基本信息

• 技能名称?Data Validation
• 中文名称?跨语言模式验证与类型安全
• 作者?gitgoodordietrying
• 分类?专业技能
• 版本?1.0.0
• 标签?data-validation, json-schema, zod, pydantic, typescript, python, api-design, type-safety, data-integrity, fastapi

使用方法

使用说明
核心用法
本技能提供全面的 模式驱动数据验证 方案，覆盖主流语言和场景：
JSON Schema ：语言无关的验证标准，支持对象结构、类型约束、条件逻辑、模式匹配等复杂规则，可通过 ajv-cli 、 jsonschema 等工具命令行验证
Zod (TypeScript) ：运行时类型安全库，支持从 schema 推断 TypeScript 类型，提供 .safeParse() 安全解析、 .parse() 抛错解析、变换（transform）、精炼（refine）、判别联合（discriminated union）等高级模式，原生适配 Express/Fastify 等框架
Pydantic (Python) ：基于类型注解的数据验证，支持字段校验器（ @field_validator ）、模型校验器（ @model_validator ）、计算字段（ @computed_field ）、严格模式、别名映射，与 FastAPI 深度集成自动生成文档
数据完整性检查 ：bash 脚本校验 CSV 行列一致性、空值、重复；jq 验证 JSON 结构、必填字段、唯一性；Python 脚本对比迁移前后数据完整性
显著优点

1. 跨语言统一 ：JSON Schema 作为通用契约，Zod/Pydantic 双向生成 Schema，实现前后端、多语言服务间类型对齐
2. 开发体验极佳 ：Zod 的类型推断消除重复定义；Pydantic 的 EmailStr 、 HttpUrl 等即开即用；两者错误信息结构化、可本地化
3. 生产级集成 ：FastAPI/Express 中间件直接消费 schema，API 文档自动生成；CLI 工具链支持 CI/CD 流水线数据质检
4. 防御性设计 ：边界验证策略（"信任内部数据"）、严格模式拒绝隐式类型转换、 additionalProperties: false 捕获拼写错误
   潜在缺点与局限
   JSON Schema 学习曲线 ：复杂条件（ if/then/else ）、递归 $ref 对新手不友好，调试困难
   Zod 运行时开销 ：大型 schema 或高频验证场景需考虑性能，复杂变换链增加延迟
   Pydantic v1/v2 迁移成本 ：v2 性能提升但 API 变动大，旧项目升级需改造
   CSV 验证简陋 ：bash/jq 方案仅覆盖基础质检，无原生 schema 支持，复杂业务规则需自定义脚本
   生态锁定 ：深度使用 Zod/Pydantic 特有功能后，迁移至其他语言/库需重写验证逻辑
   适合人群
   全栈开发者 ：需要前后端共享类型定义，追求端到端类型安全
   API 设计师 ：构建 REST/GraphQL 服务，需自动生成 OpenAPI 文档
   数据工程师 ：ETL 管道、数据迁移、CSV/JSON 导入前的质量门禁
   微服务团队 ：服务间数据契约治理，多语言技术栈下的 schema 同步
   常规风险
   | 风险 | 说明 | 缓解措施 | |------|------|---------| | 验证绕过 | 生产环境关闭验证或内部数据未校验 | 边界强制验证，内部信任但审计 | | ReDoS 攻击 | JSON Schema pattern 使用贪婪正则 | 限制输入长度，审计正则复杂度 | | 敏感数据泄露 | 错误信息暴露字段值或系统路径 | 定制错误响应，生产环境脱敏 | | 类型强制风险 | Pydantic 默认 coercion 导致 "42" → 42 | 关键路径启用 strict=True | | 性能退化 | 巨型 JSON 数组或深度嵌套 schema | 流式验证、分页处理、缓存 schema |