JZKK720/cubecloud-skilldbundle-setup

# 🧊 CubeCloud 技能包 [](#包含内容) [](#已安装的-clis) [](#mcp-servers) [](#安全模型) [](#前置条件) [](LICENSE) ## 为什么会有这个项目 当你为 VS Code Copilot Chat 提供 **skills** —— 教会它特定领域工作流（TDD、系统化调试、设计系统、Azure 模式、PR 审查）的 Markdown 指令包时，它会变得异常强大。但是，手动组装一个值得信赖的技术栈非常痛苦：你必须寻找 skills、审查它们的安全性、配置 MCP servers、安装 CLIs，并且在每台机器上重复这个过程。 **CubeCloud Skills Bundle** 只需一个命令即可完成所有这些工作。每个 skill 在到达你的机器之前，都会通过 [NVIDIA SkillSpector](https://github.com/NVIDIA/skillspector) 进行检测 —— 有漏洞的 skill 会被设计直接拦截，而不是事后补救。 ## 你将获得什么 | | 数量 | 内容 | |---|---|---| | 🧠 Skills | **139** | 由 Copilot Chat 发现 —— superpowers 方法论、ui-skills、agent-skills、ECC agent 工程、Azure 模式、设计系统、代码审查、调试等 | | 🔧 CLIs | **12** | 位于 PATH 中：`skillspector`, `skills-ref`, `specify`, `agent-reach`, `graphify`, `markitdown`, `gbrain`, `scrapling`, `uipro`, `firecrawl`, `skillopt-eval`, `headroom` | | 🔌 MCP servers | **7** | 配置在 VS Code `mcp.json` 中：markitdown, skillspector, firecrawl, scrapling, gbrain, graphify, headroom | | 📚 Fork 镜像 | **27** | 位于 `~/dev/forks/JZKK720/` 的只读备份，包括 VoltAgent/awesome-design-md | | 🎨 DESIGN.md 文件 | **74** | 真实世界的设计系统（Apple, Stripe, Linear, Vercel, Notion, Airbnb, Tesla 等），由 `design-md-library` skill 索引 | | 🔒 受安全门控 | **是** | 每个 skill 在安装前都会被 SkillSpector 扫描；有 5 个 skill 被设计主动拦截 | ## 架构 ``` graph TB subgraph L4["LAYER 4 — Project Bootstrap"] SPEC["specify init --integration copilot"] AGENTS["10 .agent.md commands"] TEMPLATES[".specify/ template tree"] SPEC --> AGENTS SPEC --> TEMPLATES end subgraph L3["LAYER 3 — Agent Commands (per-project)"] SD["/speckit.specify → /speckit.plan → /speckit.tasks"] IM["/speckit.implement → /speckit.converge"] EXT["extensions · presets · bundles"] end subgraph L2["LAYER 2 — Skills (113 core, 26 Azure)"] direction LR METH["superpowers (12)"] --> COPILOT["VS Code Copilot Chat"] DSN["design systems (74)"] --> COPILOT REV["code review (6)"] --> COPILOT DBG["debugging (4)"] --> COPILOT LOOP["loop engineering (5)"] --> COPILOT AZURE["Azure/cloud (26)"] --> COPILOT CRAFT["crafted (13)"] --> COPILOT end subgraph L1["LAYER 1 — CLIs + MCP Servers"] direction LR CLI["12 CLIs on PATH"] --> MCP["7 MCP servers"] MCP --> VSCODE["VS Code mcp.json"] end subgraph L0["LAYER 0 — Design Systems"] D74["74 DESIGN.md files"] --> LIB["design-md-library skill"] end L4 --> L3 L3 --> L2 L2 --> L1 L1 --> L0 style L4 fill:#1a3a2a,stroke:#4caf50,color:#e0ffe0 style L3 fill:#1a2a3a,stroke:#2196f3,color:#e0f0ff style L2 fill:#2a1a3a,stroke:#9c27b0,color:#f0e0ff style L1 fill:#3a3a1a,stroke:#ff9800,color:#fff0e0 style L0 fill:#3a1a1a,stroke:#f44336,color:#ffe0e0 ``` ## 快速开始 ``` git clone https://github.com/JZKK720/cubecloud-skillsboundle-setup.git ~/dev/setup powershell -NoProfile -ExecutionPolicy Bypass -File ~/dev/setup/setup-global-skills.ps1 ``` 然后**重启 VS Code**，打开 Copilot Chat，输入 `#` 即可看到你的 MCP 工具。 **总耗时：约 15 分钟**（如果使用 `-SkipForks` 约为 10 分钟）。 ### 前置条件 脚本会检查并（在可能的情况下）安装这些依赖。在新机器上预装： ``` winget install Python.Python.3.13 winget install OpenJS.NodeJS winget install Git.Git winget install Microsoft.VisualStudioCode ``` ## 包含内容 ### Skills（139 个启用，1 个禁用，5 个被拦截 —— 其中 2 个有纯净移植版） 来自 [obra/superpowers](https://github.com/obra/superpowers) 的 **Superpowers 方法论（12 个 skills）**： test-driven-development · systematic-debugging · writing-plans · executing-plans · subagent-driven-development · requesting-code-review · receiving-code-review · using-git-worktrees · finishing-a-development-branch · writing-skills · using-superpowers · dispatching-parallel-agents 来自 [evan-ai/ECC](https://github.com/evan-ai/ECC) 的 **ECC agent 工程（35 个 skills）** —— 从 278 个中精选，仅包含与框架无关的内容： safety-guard · token-budget-advisor · intent-driven-development · verification-loop · eval-harness · agent-self-evaluation · prompt-optimizer · rules-distill · knowledge-ops · codebase-onboarding · repo-scan · code-tour · search-first · blueprint · strategic-compact · enterprise-agent-ops · production-audit · error-handling · delivery-gate · coding-standards · context-budget · security-review · security-scan · security-bounty-hunter · brand-discovery · brand-voice · frontend-design-direction · make-interfaces-feel-better · continuous-agent-loop · cost-tracking · cost-aware-llm-pipeline · automation-audit-ops · connections-optimizer · mcp-server-patterns · backend-patterns 来自 JZKK720 fork 镜像的 **oz-skills（14 个启用）**： analysis-artifacts · ci-fix · create-pull-request · dbt-model-index · docs-update · github-bug-report-triage · github-issue-dedupe · mcp-builder · scheduler · seo-aeo-audit · slack-qa-investigate · terraform-style-check · web-accessibility-audit · web-performance-audit 来自 [ibelick/ui-skills](https://github.com/ibelick/ui-skills) 的 **ui-skills（6 个启用）**： ui-skills-root · baseline-ui · fixing-accessibility · fixing-metadata · fixing-motion-performance · improve-ui 来自 [addyosmani/agent-skills](https://github.com/addyosmani/agent-skills) 的 **agent-skills（23 个启用，唯一条目）**： api-and-interface-design · browser-testing-with-devtools · ci-cd-and-automation · code-review-and-quality · code-simplification · context-engineering · debugging-and-error-recovery · deprecation-and-migration · documentation-and-adrs · doubt-driven-development · frontend-ui-engineering · git-workflow-and-versioning · idea-refine · incremental-implementation · interview-me · observability-and-instrumentation · performance-optimization · planning-and-task-breakdown · security-and-hardening · shipping-and-launch · source-driven-development · spec-driven-development · using-agent-skills **Azure & 云（24 个 skills）** —— 随 VS Code Azure 扩展捆绑，自动发现： ai-mlstudio · airunway-aks-setup · appinsights-instrumentation · azure-ai · azure-aigateway · azure-cloud-migrate · azure-compliance · azure-compute · azure-cost · azure-deploy · azure-diagnostics · azure-enterprise-infra-planner · azure-kubernetes · azure-kusto · azure-messaging · azure-prepare · azure-quotas · azure-reliability · azure-resource-lookup · azure-resource-visualizer · azure-storage · azure-upgrade · azure-validate · entra-agent-id · entra-app-registration · microsoft-foundry · python-appservice-deploy 这些 Azure/Foundry 条目是扩展提供的标准 skills，不是自定义打包的移植版本。 **精心打造的独立 skills：** - **self-learning** —— 将来之不易的工作流捕获为可复用的 skills - **improve** —— 将代码库审计为优先级的实施计划 - **loopy** —— 发现、运行并发布可重复的 agent 循环 - **ponytail** —— 强制使用确实有效的最懒方案 (YAGNI) - **hallmark** —— 针对落地页和重新设计的反套路 UI 设计 - **taste-skill** —— 前端品味/打磨，反模板化输出 - **karpathy-guidelines** —— 编码行为准则 - **agent-reach** —— 跨 15 个平台的研究（Twitter, Reddit, YouTube, GitHub, LinkedIn, 雪球, 哔哩哔哩, 小红书等） - **graphify** —— 将任何文件夹变成知识图谱 - **browser-harness** —— 完整的 CDP 浏览器自动化（导航、提取、交互） - **loop-engineering (5 个 skills)** —— agent 自我管理：分类、约束、预算、验证、最小修复 - **ARIS 移植 (3 个 skills)** —— 学术研究工作流：文献检索、新颖性检查、想法生成 - **changelog-generator** —— 从 git 历史记录自动生成面向用户的更新日志 在此设置中维护的自定义实现是 `agent-reach` 和 `gstack-review`。 **手工移植：** - **gstack-review** —— 带有结构问题检查清单的预提交 PR 审查 + 8 个专家视角（安全性、测试、可维护性、性能、数据迁移、api-contract、红蓝对抗）。改编自 [garrytan/gstack](https://github.com/garrytan/gstack) (MIT)。 - **design-md-library** —— 为 awesome-design-md fork 镜像中的 74 个 DESIGN.md 文件建立索引，以便 agent 能够自行处理“让它看起来像 Stripe”的请求 - **idea-to-design** —— obra/superpowers `brainstorming` 的纯净移植版（上游被 SkillSpector 拦截，因为在 `stop-server.sh` 中存在工具参数滥用）。仅保留方法论：协作设计对话、实施前的严格门控、spec 自我审查、用户审查门控。没有浏览器服务器，没有脚本。 - **webapp-testing** —— JZKK720/oz-skills `webapp-testing` 的纯净移植版（上游被 SkillSpector 拦截，因为在 `scripts/with_server.py` 中存在 `shell=True` 工具参数滥用）。仅保留方法论：先侦察后行动模式、静态与动态决策树。没有捆绑脚本；agent 编写原生 Playwright 或使用浏览器 MCP 工具。 **默认禁用：** - **caveman** —— token 压缩，仅可选择加入 **被 SkillSpector 拦截（未安装 —— 这是设计决定）：** | Skill | 原因 | 纯净移植版？ | |---|---|---| | brainstorming | 在 `stop-server.sh` 中存在工具参数滥用 | **是** → `idea-to-design` | | last30days | 窃取信息（读取浏览器 cookie） | 否 —— 请使用 `agent-reach` | | ui-ux-pro-max | 提示词提取 + 不安全的默认值 | 否 —— 请使用 `hallmark` + `taste-skill` | | anysearch | 易受攻击的 `requests==2.20` (8 个 CVE) | 否 | | webapp-testing (oz-skills) | 高危 TM1 —— 工具参数滥用（在 `scripts/with_server.py:69` 中使用了 `shell=True`） | **是** → `webapp-testing`（纯净移植版） | ### 已安装的 CLIs | 工具 | 来源 | 用途 | |---|---|---| | `skillspector` | uv | 安全扫描器 —— 每个 skill 安装的硬性门控 | | `skills-ref` | uv | spec 验证器（建议性） | | `specify` | uv | Spec 驱动开发 CLI —— `specify init` 通过 10 个 Copilot 原生的 `.agent.md` 工作流命令（specify → plan → tasks → implement → converge）、4 层模板解析堆栈以及社区扩展/预设/包来引导项目。与 `spec-driven-development` skill 配合使用。 | | `skillopt-eval` | uv | Skill 评估测试工具 | | `agent-reach` | uv | 15 个平台的研究访问 | | `graphify` | uv | 文件夹 → 知识图谱 | | `markitdown` | uv | 将任何内容转换为 Markdown | | `scrapling` | uv | 隐蔽的网页抓取 | | `uipro` | npm | UI/UX 工作流 CLI | | `firecrawl` | npm | Firecrawl API CLI | | `gbrain` | bun | 持久化 agent 记忆 | | `headroom` | uv | AI agent 的上下文压缩层（减少 60-95% 的 token）；MCP server 暴露了 `headroom_compress`, `headroom_retrieve`, `headroom_stats`。需要对 `ast-grep-cli` 设置 Defender 排除项 —— 参见[平台限制](#platform-limitations-windows)。 | ### MCP servers 配置在 VS Code 用户 `mcp.json` 中： - **markitdown** —— 将任何内容转换为 Markdown - **skillspector** —— skill 安全扫描 - **firecrawl** —— 网页抓取/爬取 - **scrapling** —— 隐蔽抓取 - **gbrain** —— 持久化记忆 - **graphify** —— 代码库知识图谱 - **headroom** —— 上下文压缩（`headroom_compress`, `headroom_retrieve`, `headroom_stats`） ## 安全模型 每个 skill 在安装前都会由 **NVIDIA SkillSpector** 扫描： ``` skillspector scan --no-llm ``` - Exit 0 → 安全 → 继续安装 - Exit 1 → `do_not_install` → **硬性拦截**，不安装该 skill - Exit 2 → 错误 → 在重试前进行调查 `skills-ref validate` 作为**建议性**检查运行（记录 spec 偏移，不会拦截）。 完整的裁决历史位于 [`upstream/SCAN_LOG.md`](upstream/SCAN_LOG.md) 中。 ## 仓库布局 ``` ~/dev/ ├── setup/ # the one-command installer + config │ ├── setup-global-skills.ps1 # master installer │ ├── install-skill.ps1 # security-gated skill install helper │ ├── skills-list.csv # manifest of skills to install │ ├── mcp.json.template # 7 MCP server config │ └── SETUP_GUIDE.md # detailed guide ├── bin/ # 17 audit/fix/install helper scripts ├── upstream/ # governance docs + design-md-library wrapper skill └── forks/JZKK720/ # 23 read-only fork mirrors (gitignored, re-cloned) ``` ## 设置后如何使用 在 Copilot Chat 中，尝试： - *"use the **improve** skill to audit this codebase"* - *"use **systematic-debugging** to investigate this error"* - *"use the **design-md-library** to build me a page that looks like Stripe"* *"use **gstack-review** to review my PR"* - *"use **agent-reach** to research what people are saying about X on Reddit"* - *"use `specify init my-app --integration copilot` to scaffold a new SDD project"* - *"then `/speckit.specify Build a photo organizer with album grouping and drag-and-drop`"* ## 后续更新 ``` # 重新运行安装程序（跳过已安装的项目） powershell -NoProfile -ExecutionPolicy Bypass -File ~/dev/setup/setup-global-skills.ps1 # 更新工具 uv tool upgrade --all npm update -g bun pm -g update # 每季度重新扫描所有技能 skillspector scan ~/.agents/skills/ --recursive --no-llm ``` ## 添加新 skill ``` cd ~/dev/bin .\install-skill.ps1 -Repo "owner/repo" -Name "skill-name" # 已禁用： .\install-skill.ps1 -Repo "owner/repo" -Name "skill-name" -Disabled # 自定义路径： .\install-skill.ps1 -Repo "owner/repo" -Name "skill-name" -SkillRelPath "path/to/skill" ``` ## 平台限制 | 工具 | 问题 | 解决方法 | |---|---|---| | EverOS | `import fcntl` (仅限 Unix) | 未安装。改用 `gbrain` MCP。 | | headroom | Windows Defender 拦截 `ast-grep-cli.exe`（Rust 二进制文件的误报） | 在具有管理员权限的 PowerShell 中运行 `bin/add-defender-exclusion-ast-grep.ps1`，然后运行 `uv tool install "headroom-ai[proxy]"`。排除范围仅限于 ast-grep。 | | recall | 需要 Claude Code hooks | 仅适用于 Claude Code；不适用于 VS Code Copilot。 | ## 许可证 MIT —— 详见 [LICENSE](LICENSE)。 捆绑的 skills 保留其上游许可证（主要是 MIT）。`gstack-review` 改编自 [garrytan/gstack](https://github.com/garrytan/gstack) (MIT, © 2026 Garry Tan)。`design-md-library` 包装器索引了来自 [VoltAgent/awesome-design-md](https://github.com/VoltAgent/awesome-design-md) (MIT) 的内容，该内容从公开网站上提取公开可见的 CSS 值 —— 不声称拥有任何站点视觉标识的所有权。 ## 贡献 这是一个个人设置的打包集合。欢迎提交 Issue 和 PR，但安装流程对安全性有严格的要求（SkillSpector 是硬性门控，而不是建议）。如果你提交包含的 skill，它必须通过 `skillspector scan` 且 exit 0。 ## 致谢 建立在众多开源作者的工作之上。完整上游来源列表请参见 [`setup/skills-list.csv`](setup/skills-list.csv)。特别感谢： - [obra/superpowers](https://github.com/obra/superpowers) —— 核心方法论 - [NVIDIA/skillspector](https://github.com/NVIDIA/skillspector) —— 安全门控 - [VoltAgent/awesome-design-md](https://github.com/VoltAgent/awesome-design-md) —— 设计系统库 - [garrytan/gstack](https://github.com/garrytan/gstack) —— PR 审查方法论

标签：AI合规, AI辅助编程, Libemu, MITM代理, SOC Prime, 工作流, 开发工具, 暗色界面, 自动化配置, 逆向工具