前言¶
提交代码前，你往往要在两类任务之间切换：工程侧要查 SQL 注入、凭证泄露和异常处理；竞赛侧要盯复杂度、边界和 WA 诱因。通用对话模型能给出泛泛建议，但很少按风险分级、附修复前后对比，也很少同时覆盖「安全审查」和「算法诊断」。下面介绍 SkillHub 上的社区 Skill「代码漏洞与 BUG 分析工具」，它在同一套流程里区分竞赛与工程场景，分析时直接出修复，生成时强调可运行与可复用。
这是什么¶
代码漏洞与 BUG 分析工具（坐标 @user_b130948c/code-bug-analyzer，版本 1.0.0）是 SkillHub 分类 dev-programming 下的社区技能，发布者为 user_b130948c，标签 requires_api_key=false，无需额外 API Key。
官方页面：https://www.skillhub.cn/skills/user_b130948c/code-bug-analyzer
API 地址：https://api.skillhub.cn/user_b130948c/code-bug-analyzer
定位可以概括为：既能辅助写代码，也能审查已有代码；自动识别竞赛或工程场景，生成侧重可直接运行，分析侧重可直接复制的修复方案。
核心功能¶
代码分析¶
工程代码审查¶
- 自动识别编程语言。
- 扫描安全漏洞与代码缺陷，按 Critical、High、Medium、Low 四级标注风险。
- 对每个问题说明：问题本身、可能后果、修复方案，并给出修复前后对比；修复代码可直接复制。
- 官方列出的覆盖项包括：SQL 注入、资源泄漏、明文密码、硬编码凭证、异常处理不当等。
竞赛代码诊断¶
- 自动识别算法类型。
- 给出时间与空间复杂度分析。
- 检测易导致 WA 的边界：空输入、整数溢出、大数据、重边等。
- 还原解题思路，并给出具体优化方向。
代码生成¶
竞赛算法（默认 C++）¶
覆盖线段树、树状数组、并查集、KMP、字典树、Dijkstra、背包 DP、快速幂、矩阵快速幂等；每份代码标注复杂度与适用场景、接口用法。同一算法提供基础版与进阶版（例如线段树懒标记、树状数组区间修改）。内置算法知识库含复杂度速查、排序对比、图论模板、DP 分类、字符串与数学算法等。
工程代码¶
按领域自动选择语言与框架，覆盖 Web 后端、前端、移动端、数据科学、脚本工具、游戏开发、嵌入式、DevOps、数据库九大领域。生成代码包含错误处理、安全防护与类型注解。模板库涵盖 Python、JS/TS、Java、Go，以及安全编码规范、RESTful API 设计、数据库操作等。
需求不明确时，会同时给出竞赛与工程两种方案，标明默认语言与适用场景，由你选择。
输入方式¶
支持四种：粘贴代码片段、上传代码文件、截图经 OCR 提取代码、自然语言描述需求。
设计理念（官方表述）¶
- 诚实：不确定则标明不确定，不猜测、不编造。
- 安全优先：工程代码始终考虑安全；分析时重点审查漏洞。
- 复杂度意识：竞赛代码关注时空限制，并提供复杂度分析。
- 可直接复用：生成代码带完整接口说明；分析修复代码可直接复制。
安装与启用¶
SkillHub 页面给出的安装提示为：先按官方安装文档操作，再安装本技能坐标。
请根据 https://skillhub.cn/install/skillhub.md，安装 `@user_b130948c/code-bug-analyzer`。
1. 检查或安装 SkillHub CLI¶
先确认本机是否已有 skillhub：
command -v skillhub && skillhub --version
未安装时，可按 SkillHub 文档执行完整安装（CLI + 默认 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
仅安装 CLI：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2. 安装到当前 Agent 的 skills 目录¶
安装技能时必须用 --dir 指向当前 Agent 识别的 skills 目录；装到默认 ./skills/ 可能不会被加载，且通常需要重启客户端。
skillhub install user_b130948c/code-bug-analyzer --dir <skills 目录>
常用路径（来自 SkillHub 安装文档）：
| 环境 | skills 目录 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或项目下 .agents/skills/ |
在 Cursor 中示例：
skillhub install user_b130948c/code-bug-analyzer --dir ~/.cursor/skills/
也可在对话里把上述「请根据 skillhub.md 安装」提示发给 Agent，由 Agent 按文档完成安装；具体是否需重启以你所用客户端为准。
典型用法¶
官方说明：当用户提交代码进行审查、查找漏洞或分析算法时使用本 Skill。下面是可以直接复现的交互方式（与官方输入方式一致）。
工程：粘贴片段做安全审查¶
在已启用 Skill 的对话中粘贴待审代码，并明确意图，例如：
请用代码漏洞与 BUG 分析技能审查下面这段后端代码，按 Critical/High/Medium/Low 列出问题、后果和修复，并给出修复前后对比。
（此处粘贴代码）
预期输出形态（以官方能力为准）：语言识别、分级风险列表、每项含修复方案与可复制修复代码。
竞赛：诊断 WA 与复杂度¶
这段竞赛代码一直 WA，请识别算法类型，分析时间/空间复杂度，检查空输入、溢出、大数据、重边等边界，并给出优化方向。
（此处粘贴代码或上传文件）
生成：自然语言描述需求¶
需要一个支持区间修改的树状数组 C++ 模板，标注复杂度、接口用法，并给基础版与区间修改版。
或工程侧：
用 Go 写一个带错误处理和安全校验的 RESTful 用户登录接口骨架，说明类型与基本防护点。
截图 OCR¶
将 IDE 或题面截图上传，说明「从截图提取代码并做漏洞扫描」或「提取后做竞赛诊断」，与官方四种输入方式中的 OCR 路径一致。
适用场景与注意¶
适合谁
- 需要在 PR 或交付前做一轮结构化安全与缺陷扫描的开发者。
- 参加算法竞赛、需要复杂度说明与边界排查的选手。
- 希望同一 Skill 在「写模板 / 写业务骨架」与「审代码」之间切换、且不想单独维护多套提示词的团队。
使用注意
- 来源与版本：community 来源，当前页面版本为 1.0.0；升级可用
skillhub在对应--dir下按 SkillHub 流程更新（以文档为准）。 - 不要替代正式安全审计：Skill 输出适合辅助发现常见问题，不能等同渗透测试、合规审计或 CI 静态分析流水线。
- OCR 与截图：识别错误会影响分析结论；关键逻辑建议仍以粘贴或上传源文件为准。
- 诚实原则：官方强调不确定时不猜测；对高风险修复仍建议本地跑测试与 code review。
- 页面数据：SkillHub 抓取资料中评分为 100000、下载约 4070（以页面展示为准，会随时间变化）。
结尾¶
代码漏洞与 BUG 分析工具把工程侧的分级漏洞说明、竞赛侧的复杂度与边界诊断，以及两侧的代码生成收进一个 Skill；安装坐标为 @user_b130948c/code-bug-analyzer，无需 API Key。若你经常在审查、查漏洞和分析算法之间切换，可从官方页安装并固定到 Cursor 等环境的 skills 目录使用。
官方地址：https://api.skillhub.cn/user_b130948c/code-bug-analyzer
SkillHub 页面：https://www.skillhub.cn/skills/user_b130948c/code-bug-analyzer
