前言¶
在 Web 安全评估里，Content-Security-Policy（CSP）经常决定 XSS 能否落地、能否外带数据。人工翻文档、记绕过套路，再让 AI 临时发挥，容易漏步骤、口径也不统一。SkillHub 上的「CSP绕过高级技巧」把这类工作收成一条可安装的 Agent Skill：装好后由 Agent 按技能说明处理 CSP 绕过相关任务，而不是每次从零写提示词。
下面介绍它是什么、能确认的能力边界，以及怎样安装与使用。
这是什么¶
「CSP绕过高级技巧」是 SkillHub 社区来源（community）的技能包，坐标为 @user_3c6cb52e/csp-bypass-advanced-9c35，当前版本 1.0.0，分类为 it-ops-security，发布者为 user_3c6cb52e（SkillHub 页面展示作者为 ҉Breeze🌔）。
官方简介只有一句定位：CSP 绕过高级技巧专用技能，帮助 AI Agent 高效完成相关任务。 公开页面未提供 SKILL.md 正文，具体步骤与检查清单需安装到本地后由 Agent 读取技能文件获得。
- 官方 API 入口：https://api.skillhub.cn/user_3c6cb52e/csp-bypass-advanced-9c35
- SkillHub 展示页：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35
核心功能¶
结合 SkillHub 元数据与页面说明，目前能核实的能力如下：
- 领域聚焦：面向 CSP 绕过场景，作为 Agent 的专用技能挂载，而不是通用聊天里的零散知识。
- 无需 API Key：标签为
requires_api_key=false，不依赖额外密钥服务即可安装使用（仍以你本地 Agent 与 SkillHub CLI 环境为准）。 - 标准 Skill 形态：遵循通用
SKILL.md格式，由支持 Skills 的客户端在匹配任务时加载。
公开资料未列出具体绕过手法、PoC 模板或工具链；这些若存在，应在安装后的技能目录内，本文不臆测内容。
安装与启用¶
SkillHub 建议先按统一安装文档配置 CLI，再把本技能装进当前 Agent 实际识别的 skills 目录；装错目录会导致客户端读不到技能。
1、安装 SkillHub CLI（若尚未安装）¶
command -v skillhub && skillhub --version
未安装时可执行完整安装（文档推荐）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
仅 CLI：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
以上命令来自 https://skillhub.cn/install/skillhub.md。
2、安装本技能¶
安装时必须用 --dir 指向当前环境的 skills 目录。常见路径（同一文档摘录）：
- Cursor：
~/.cursor/skills/ - Claude Code：
~/.claude/skills/ - Codex：
~/.codex/skills/或项目下的.agents/skills/
示例（将目录换成你正在用的客户端路径）：
skillhub install @user_3c6cb52e/csp-bypass-advanced-9c35 --dir ~/.cursor/skills/
也可把 SkillHub 页面给出的提示词交给 Agent，让其按安装文档完成安装：
请根据 https://skillhub.cn/install/skillhub.md，安装 `@user_3c6cb52e/csp-bypass-advanced-9c35`。
经过上面的步骤后，重启或刷新 Agent 的 Skills 加载方式（以你所用客户端文档为准），即可在任务中引用该技能。
典型用法¶
公开侧可复现的用法主要是安装与挂载：
- 在已授权的安全测试或研发自测场景中，确认目标站点 CSP 策略与测试范围。
- 向 Agent 说明任务（例如分析某响应头中的 CSP、在授权范围内评估脚本注入面），并确保已安装
@user_3c6cb52e/csp-bypass-advanced-9c35。 - 由 Agent 按本地
SKILL.md中的流程组织分析；你补充环境信息（URL、响应头、复现步骤），而不是让模型凭空编造绕过链。
SkillHub 统计（抓取时）：评分 100000，下载 1329 次；页面未展示独立「安装」计数以外的详细用例。
适用场景与注意¶
适合谁
- 做 Web 渗透、红队或安全研发的工程师，需要在 Agent 里固定一套 CSP 绕过相关的工作方式。
- 已使用 Cursor、Claude Code、Codex 等支持 Skills 的客户端，并愿意通过 SkillHub 管理技能包。
限制与注意
- 授权：CSP 绕过属于攻击性技术范畴，仅能在获得书面授权的目标或自有系统上使用；未授权测试违法且违反平台规范。
- 内容可见性：SkillHub 公网未提供该技能的 SKILL 正文，安装前无法从页面审阅全部指令；社区来源（
community）建议结合团队规范做使用前审查。 - 数据以页面为准：评分、下载量会变动，请以 SkillHub 展示页实时数据为准。
结尾¶
「CSP绕过高级技巧」把 CSP 绕过类任务收敛为可安装的 Agent Skill，免 API Key，归类在 it-ops-security。若你已在用 SkillHub 管理技能，可按官方坐标安装到对应 skills 目录，再在授权测试流程里交给 Agent 执行。
- SkillHub：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35
- 坐标：
@user_3c6cb52e/csp-bypass-advanced-9c35（v1.0.0）
