前言¶
在 Web 安全排查裏，跨站腳本（XSS）往往涉及上下文判斷：輸出點是否轉義、DOM 是否可被用戶輸入改寫、CSP 與框架默認行爲如何疊加。把這些點交給通用對話模型，容易漏掉分類（反射型、存儲型、DOM 型）或把「演示 payload」和「可落地的修復建議」混在一起。
下面介紹 SkillHub 上的社區 Skill「XSS跨站腳本」，目標是把 XSS 相關任務收斂到一份可被 Agent 讀取的 SKILL 說明裏，讓 Agent 按技能約定推進，而不是每次從零拼湊安全常識。
這是什麼¶
「XSS跨站腳本」是面向 AI Agent 的專用技能，官方簡介爲：XSS 跨站腳本專用技能，幫助 AI Agent 高效完成相關任務。
- 座標：
@user_3c6cb52e/xss-lr-mz5p - 版本：1.0.0
- 來源：community（社區發佈）
- 分類：it-ops-security
- 發佈者：user_3c6cb52e
- 標籤：
requires_api_key=false（無需額外 API Key）
Skill 頁面與 API 入口：
- SkillHub 展示頁：https://www.skillhub.cn/skills/user_3c6cb52e/xss-lr-mz5p
- 官方地址（資料中的 API 入口）：https://api.skillhub.cn/user_3c6cb52e/xss-lr-mz5p
公開頁面未展開 SKILL.md 全文；安裝後技能內容以本地 SKILL.md（及同目錄附屬文件）爲準，屬於通用 Skill 包格式。
核心功能¶
根據 SkillHub 已展示信息，可覈實的能力邊界如下：
- 領域聚焦：技能主題固定爲 XSS（跨站腳本），用於引導 Agent 處理與該主題相關的任務，而不是泛化 Web 安全問答。
- 無 Key 依賴：
requires_api_key=false，不依賴外部付費 API 即可啓用技能說明。 - Agent 工作流載體：通過 SKILL.md 向 Agent 注入流程、檢查項或輸出約定（具體條目需在安裝包內查看，頁面未逐條列出）。
SkillHub 統計（以抓取資料爲準）：評分 100000；下載 1341 次；安裝計數爲 0（以平臺展示爲準，可能與各端本地安裝不同步）。
安裝與啓用¶
官方頁面給出的安裝提示是：讓 Agent 參照 https://skillhub.cn/install/skillhub.md，安裝 @user_3c6cb52e/xss-lr-mz5p。
1、安裝 SkillHub CLI（若尚未安裝）¶
先確認本機是否已有 skillhub：
command -v skillhub && skillhub --version
未安裝時，可按安裝文檔執行完整安裝（CLI + 默認 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
僅需 CLI 時：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2、安裝本技能到當前 Agent 的 skills 目錄¶
安裝文檔要求：必須用 --dir 指向當前 Agent 實際使用的 skills 目錄，否則默認落到 ./skills/，Agent 可能無法加載。
skillhub install user_3c6cb52e/xss-lr-mz5p --dir <你的 Agent skills 目錄>
常用客戶端 skills 路徑（摘自官方安裝說明）：
| 環境 | skills 目錄 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或項目下 .agents/skills/ |
| Windsurf | ~/.codeium/windsurf/skills/ 或 .windsurf/skills/ |
安裝後按你所用客戶端要求重啓或重新加載 Agent，使新技能被識別。
3、在對話中啓用¶
向 Agent 說明已安裝 @user_3c6cb52e/xss-lr-mz5p，並在任務描述中明確 XSS 相關目標（例如代碼審計、修復建議、測試計劃梳理等）。Agent 應優先遵循該技能目錄中的 SKILL 說明。
典型用法¶
公開 SkillHub 頁面未提供可複製的對話示例或命令演示；可復現的官方步驟只有「按 install 文檔安裝座標」這一條。
經過上面的步驟，典型用法可以概括爲：
- 在授權範圍內發起任務（僅限自有系統、滲透授權或內部安全演練）。
- 在提示中引用技能座標，讓 Agent 按 SKILL.md 中的結構與術語組織輸出。
- 對 Agent 產出的 payload、驗證步驟做人工複覈，再進入真實環境驗證。
若需覈對技能內具體檢查清單或輸出模板，請在本地打開安裝目錄中的 SKILL.md，以文件內容爲準。
適用場景與注意¶
適合誰
- 需要在 Agent 對話中反覆處理 XSS 相關工作的安全工程師、後端或全棧開發者。
- 希望把 XSS 任務從「每次口頭約束 Agent」改爲「安裝固定技能包」的團隊。
使用注意
- 合規：XSS 測試與利用僅能在合法授權範圍內進行；技能本身不提供法律授權。
- 社區來源：
source: community，維護節奏與內容質量取決於發佈者，升級前建議在測試環境閱讀變更。 - 能力細節以安裝包爲準：頁面簡介未列出具體工具鏈或 payload 庫，不要假設技能內置掃描器或自動化 exploit。
- API 入口：資料中的
https://api.skillhub.cn/user_3c6cb52e/xss-lr-mz5p在直接 HTTP 訪問時可能返回 405；日常以 SkillHub 頁面與skillhub install爲準。
結尾¶
「XSS跨站腳本」把 Agent 在 XSS 場景下的工作方式封裝爲可安裝的 Skill，座標 @user_3c6cb52e/xss-lr-mz5p，無需 API Key，歸類在 it-ops-security。若你正在用 Cursor、Claude Code 等支持 Skills 的客戶端，可按官方安裝文檔裝入對應 skills 目錄，再在授權任務中引用該技能。
官方 SkillHub 頁面：https://www.skillhub.cn/skills/user_3c6cb52e/xss-lr-mz5p
