前言¶

在 Web 安全評估裏，Content-Security-Policy（CSP）經常決定 XSS 能否落地、能否外帶數據。人工翻文檔、記繞過套路，再讓 AI 臨時發揮，容易漏步驟、口徑也不統一。SkillHub 上的「CSP繞過高級技巧」把這類工作收成一條可安裝的 Agent Skill：裝好後由 Agent 按技能說明處理 CSP 繞過相關任務，而不是每次從零寫提示詞。

下面介紹它是什麼、能確認的能力邊界，以及怎樣安裝與使用。

這是什麼¶

「CSP繞過高級技巧」是 SkillHub 社區來源（community）的技能包，座標爲 @user_3c6cb52e/csp-bypass-advanced-9c35，當前版本 1.0.0，分類爲 it-ops-security，發佈者爲 user_3c6cb52e（SkillHub 頁面展示作者爲 ҉Breeze🌔）。

官方簡介只有一句定位：CSP 繞過高級技巧專用技能，幫助 AI Agent 高效完成相關任務。 公開頁面未提供 SKILL.md 正文，具體步驟與檢查清單需安裝到本地後由 Agent 讀取技能文件獲得。

• 官方 API 入口：https://api.skillhub.cn/user_3c6cb52e/csp-bypass-advanced-9c35
• SkillHub 展示頁：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35

核心功能¶

結合 SkillHub 元數據與頁面說明，目前能覈實的能力如下：

1. 領域聚焦：面向 CSP 繞過場景，作爲 Agent 的專用技能掛載，而不是通用聊天裏的零散知識。
2. 無需 API Key：標籤爲 requires_api_key=false，不依賴額外密鑰服務即可安裝使用（仍以你本地 Agent 與 SkillHub CLI 環境爲準）。
3. 標準 Skill 形態：遵循通用 SKILL.md 格式，由支持 Skills 的客戶端在匹配任務時加載。

公開資料未列出具體繞過手法、PoC 模板或工具鏈；這些若存在，應在安裝後的技能目錄內，本文不臆測內容。

安裝與啓用¶

SkillHub 建議先按統一安裝文檔配置 CLI，再把本技能裝進當前 Agent 實際識別的 skills 目錄；裝錯目錄會導致客戶端讀不到技能。

1、安裝 SkillHub CLI（若尚未安裝）¶

command -v skillhub && skillhub --version

未安裝時可執行完整安裝（文檔推薦）：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash

僅 CLI：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only

以上命令來自 https://skillhub.cn/install/skillhub.md。

2、安裝本技能¶

安裝時必須用 --dir 指向當前環境的 skills 目錄。常見路徑（同一文檔摘錄）：

• Cursor：~/.cursor/skills/
• Claude Code：~/.claude/skills/
• Codex：~/.codex/skills/ 或項目下的 .agents/skills/

示例（將目錄換成你正在用的客戶端路徑）：

skillhub install @user_3c6cb52e/csp-bypass-advanced-9c35 --dir ~/.cursor/skills/

也可把 SkillHub 頁面給出的提示詞交給 Agent，讓其按安裝文檔完成安裝：

請根據 https://skillhub.cn/install/skillhub.md，安裝 `@user_3c6cb52e/csp-bypass-advanced-9c35`。

經過上面的步驟後，重啓或刷新 Agent 的 Skills 加載方式（以你所用客戶端文檔爲準），即可在任務中引用該技能。

典型用法¶

公開側可復現的用法主要是安裝與掛載：

1. 在已授權的安全測試或研發自測場景中，確認目標站點 CSP 策略與測試範圍。
2. 向 Agent 說明任務（例如分析某響應頭中的 CSP、在授權範圍內評估腳本注入面），並確保已安裝 @user_3c6cb52e/csp-bypass-advanced-9c35。
3. 由 Agent 按本地 SKILL.md 中的流程組織分析；你補充環境信息（URL、響應頭、復現步驟），而不是讓模型憑空編造繞過鏈。

SkillHub 統計（抓取時）：評分 100000，下載 1329 次；頁面未展示獨立「安裝」計數以外的詳細用例。

適用場景與注意¶

適合誰

• 做 Web 滲透、紅隊或安全研發的工程師，需要在 Agent 裏固定一套 CSP 繞過相關的工作方式。
• 已使用 Cursor、Claude Code、Codex 等支持 Skills 的客戶端，並願意通過 SkillHub 管理技能包。

限制與注意

• 授權：CSP 繞過屬於攻擊性技術範疇，僅能在獲得書面授權的目標或自有系統上使用；未授權測試違法且違反平臺規範。
• 內容可見性：SkillHub 公網未提供該技能的 SKILL 正文，安裝前無法從頁面審閱全部指令；社區來源（community）建議結合團隊規範做使用前審查。
• 數據以頁面爲準：評分、下載量會變動，請以 SkillHub 展示頁實時數據爲準。

結尾¶

「CSP繞過高級技巧」把 CSP 繞過類任務收斂爲可安裝的 Agent Skill，免 API Key，歸類在 it-ops-security。若你已在用 SkillHub 管理技能，可按官方座標安裝到對應 skills 目錄，再在授權測試流程裏交給 Agent 執行。

• SkillHub：https://www.skillhub.cn/skills/user_3c6cb52e/csp-bypass-advanced-9c35
• 座標：@user_3c6cb52e/csp-bypass-advanced-9c35（v1.0.0）