前言¶

在 Web 安全评估里，Content-Security-Policy（CSP）经常决定 XSS 能否落地、能否外带数据。人工翻文档、记绕过套路，再让 AI 临时发挥，容易漏步骤、口径也不统一。SkillHub 上的「CSP绕过高级技巧」把这类工作收成一条可安装的 Agent Skill：装好后由 Agent 按技能说明处理 CSP 绕过相关任务，而不是每次从零写提示词。

下面介绍它是什么、能确认的能力边界，以及怎样安装与使用。

这是什么¶

「CSP绕过高级技巧」是 SkillHub 社区来源（community）的技能包，坐标为 @user_3c6cb52e/csp-bypass-advanced-9c35，当前版本 1.0.0，分类为 it-ops-security，发布者为 user_3c6cb52e（SkillHub 页面展示作者为 ҉Breeze🌔）。

官方简介只有一句定位：CSP 绕过高级技巧专用技能，帮助 AI Agent 高效完成相关任务。 公开页面未提供 SKILL.md 正文，具体步骤与检查清单需安装到本地后由 Agent 读取技能文件获得。

• 官方 API 入口：https://api.skillhub.cn/user_3c6cb52e/csp-bypass-advanced-9c35
• SkillHub 展示页：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35

核心功能¶

结合 SkillHub 元数据与页面说明，目前能核实的能力如下：

1. 领域聚焦：面向 CSP 绕过场景，作为 Agent 的专用技能挂载，而不是通用聊天里的零散知识。
2. 无需 API Key：标签为 requires_api_key=false，不依赖额外密钥服务即可安装使用（仍以你本地 Agent 与 SkillHub CLI 环境为准）。
3. 标准 Skill 形态：遵循通用 SKILL.md 格式，由支持 Skills 的客户端在匹配任务时加载。

公开资料未列出具体绕过手法、PoC 模板或工具链；这些若存在，应在安装后的技能目录内，本文不臆测内容。

安装与启用¶

SkillHub 建议先按统一安装文档配置 CLI，再把本技能装进当前 Agent 实际识别的 skills 目录；装错目录会导致客户端读不到技能。

1、安装 SkillHub CLI（若尚未安装）¶

command -v skillhub && skillhub --version

未安装时可执行完整安装（文档推荐）：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash

仅 CLI：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only

以上命令来自 https://skillhub.cn/install/skillhub.md。

2、安装本技能¶

安装时必须用 --dir 指向当前环境的 skills 目录。常见路径（同一文档摘录）：

• Cursor：~/.cursor/skills/
• Claude Code：~/.claude/skills/
• Codex：~/.codex/skills/ 或项目下的 .agents/skills/

示例（将目录换成你正在用的客户端路径）：

skillhub install @user_3c6cb52e/csp-bypass-advanced-9c35 --dir ~/.cursor/skills/

也可把 SkillHub 页面给出的提示词交给 Agent，让其按安装文档完成安装：

请根据 https://skillhub.cn/install/skillhub.md，安装 `@user_3c6cb52e/csp-bypass-advanced-9c35`。

经过上面的步骤后，重启或刷新 Agent 的 Skills 加载方式（以你所用客户端文档为准），即可在任务中引用该技能。

典型用法¶

公开侧可复现的用法主要是安装与挂载：

1. 在已授权的安全测试或研发自测场景中，确认目标站点 CSP 策略与测试范围。
2. 向 Agent 说明任务（例如分析某响应头中的 CSP、在授权范围内评估脚本注入面），并确保已安装 @user_3c6cb52e/csp-bypass-advanced-9c35。
3. 由 Agent 按本地 SKILL.md 中的流程组织分析；你补充环境信息（URL、响应头、复现步骤），而不是让模型凭空编造绕过链。

SkillHub 统计（抓取时）：评分 100000，下载 1329 次；页面未展示独立「安装」计数以外的详细用例。

适用场景与注意¶

适合谁

• 做 Web 渗透、红队或安全研发的工程师，需要在 Agent 里固定一套 CSP 绕过相关的工作方式。
• 已使用 Cursor、Claude Code、Codex 等支持 Skills 的客户端，并愿意通过 SkillHub 管理技能包。

限制与注意

• 授权：CSP 绕过属于攻击性技术范畴，仅能在获得书面授权的目标或自有系统上使用；未授权测试违法且违反平台规范。
• 内容可见性：SkillHub 公网未提供该技能的 SKILL 正文，安装前无法从页面审阅全部指令；社区来源（community）建议结合团队规范做使用前审查。
• 数据以页面为准：评分、下载量会变动，请以 SkillHub 展示页实时数据为准。

结尾¶

「CSP绕过高级技巧」把 CSP 绕过类任务收敛为可安装的 Agent Skill，免 API Key，归类在 it-ops-security。若你已在用 SkillHub 管理技能，可按官方坐标安装到对应 skills 目录，再在授权测试流程里交给 Agent 执行。

• SkillHub：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35
• 坐标：@user_3c6cb52e/csp-bypass-advanced-9c35（v1.0.0）