前言¶
在 Web 安全排查里，跨站脚本（XSS）往往涉及上下文判断：输出点是否转义、DOM 是否可被用户输入改写、CSP 与框架默认行为如何叠加。把这些点交给通用对话模型，容易漏掉分类（反射型、存储型、DOM 型）或把「演示 payload」和「可落地的修复建议」混在一起。
下面介绍 SkillHub 上的社区 Skill「XSS跨站脚本」，目标是把 XSS 相关任务收敛到一份可被 Agent 读取的 SKILL 说明里，让 Agent 按技能约定推进，而不是每次从零拼凑安全常识。
这是什么¶
「XSS跨站脚本」是面向 AI Agent 的专用技能，官方简介为：XSS 跨站脚本专用技能，帮助 AI Agent 高效完成相关任务。
- 坐标：
@user_3c6cb52e/xss-lr-mz5p - 版本：1.0.0
- 来源：community（社区发布）
- 分类：it-ops-security
- 发布者：user_3c6cb52e
- 标签：
requires_api_key=false（无需额外 API Key）
Skill 页面与 API 入口：
- SkillHub 展示页：https://www.skillhub.cn/skills/user_3c6cb52e/xss-lr-mz5p
- 官方地址（资料中的 API 入口）：https://api.skillhub.cn/user_3c6cb52e/xss-lr-mz5p
公开页面未展开 SKILL.md 全文；安装后技能内容以本地 SKILL.md（及同目录附属文件）为准，属于通用 Skill 包格式。
核心功能¶
根据 SkillHub 已展示信息，可核实的能力边界如下：
- 领域聚焦：技能主题固定为 XSS（跨站脚本），用于引导 Agent 处理与该主题相关的任务，而不是泛化 Web 安全问答。
- 无 Key 依赖：
requires_api_key=false，不依赖外部付费 API 即可启用技能说明。 - Agent 工作流载体：通过 SKILL.md 向 Agent 注入流程、检查项或输出约定（具体条目需在安装包内查看，页面未逐条列出）。
SkillHub 统计（以抓取资料为准）：评分 100000；下载 1341 次；安装计数为 0（以平台展示为准，可能与各端本地安装不同步）。
安装与启用¶
官方页面给出的安装提示是：让 Agent 参照 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/xss-lr-mz5p。
1、安装 SkillHub CLI（若尚未安装）¶
先确认本机是否已有 skillhub：
command -v skillhub && skillhub --version
未安装时，可按安装文档执行完整安装（CLI + 默认 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
仅需 CLI 时：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2、安装本技能到当前 Agent 的 skills 目录¶
安装文档要求：必须用 --dir 指向当前 Agent 实际使用的 skills 目录，否则默认落到 ./skills/，Agent 可能无法加载。
skillhub install user_3c6cb52e/xss-lr-mz5p --dir <你的 Agent skills 目录>
常用客户端 skills 路径（摘自官方安装说明）：
| 环境 | skills 目录 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或项目下 .agents/skills/ |
| Windsurf | ~/.codeium/windsurf/skills/ 或 .windsurf/skills/ |
安装后按你所用客户端要求重启或重新加载 Agent，使新技能被识别。
3、在对话中启用¶
向 Agent 说明已安装 @user_3c6cb52e/xss-lr-mz5p，并在任务描述中明确 XSS 相关目标（例如代码审计、修复建议、测试计划梳理等）。Agent 应优先遵循该技能目录中的 SKILL 说明。
典型用法¶
公开 SkillHub 页面未提供可复制的对话示例或命令演示；可复现的官方步骤只有「按 install 文档安装坐标」这一条。
经过上面的步骤，典型用法可以概括为：
- 在授权范围内发起任务（仅限自有系统、渗透授权或内部安全演练）。
- 在提示中引用技能坐标，让 Agent 按 SKILL.md 中的结构与术语组织输出。
- 对 Agent 产出的 payload、验证步骤做人工复核，再进入真实环境验证。
若需核对技能内具体检查清单或输出模板，请在本地打开安装目录中的 SKILL.md，以文件内容为准。
适用场景与注意¶
适合谁
- 需要在 Agent 对话中反复处理 XSS 相关工作的安全工程师、后端或全栈开发者。
- 希望把 XSS 任务从「每次口头约束 Agent」改为「安装固定技能包」的团队。
使用注意
- 合规：XSS 测试与利用仅能在合法授权范围内进行；技能本身不提供法律授权。
- 社区来源：
source: community，维护节奏与内容质量取决于发布者，升级前建议在测试环境阅读变更。 - 能力细节以安装包为准：页面简介未列出具体工具链或 payload 库，不要假设技能内置扫描器或自动化 exploit。
- API 入口：资料中的
https://api.skillhub.cn/user_3c6cb52e/xss-lr-mz5p在直接 HTTP 访问时可能返回 405；日常以 SkillHub 页面与skillhub install为准。
结尾¶
「XSS跨站脚本」把 Agent 在 XSS 场景下的工作方式封装为可安装的 Skill，坐标 @user_3c6cb52e/xss-lr-mz5p，无需 API Key，归类在 it-ops-security。若你正在用 Cursor、Claude Code 等支持 Skills 的客户端，可按官方安装文档装入对应 skills 目录，再在授权任务中引用该技能。
官方 SkillHub 页面：https://www.skillhub.cn/skills/user_3c6cb52e/xss-lr-mz5p
