前言¶
在授權安全測試或代碼審計裏，競態往往表現爲「讀—改—寫」不是原子操作：多個併發請求讀到同一份舊狀態，業務卻各自認爲操作成功。人工排查時要同時想傳輸層怎麼併發打、應用層該看什麼證據，還要和業務邏輯漏洞對照，負擔不小。若希望 Agent 在接到相關任務時有一套固定視角與優先級，而不是每次從零拼湊提示詞，可以把 SkillHub 上的社區 Skill「競態條件」裝進當前 Agent 的 skills 目錄，由 SKILL.md 在加載時注入指引。
這是什麼¶
「競態條件」是 SkillHub 座標 @user_3c6cb52e/race-condition-lr-kju9 下的社區 Skill（來源：community，發佈者 user_3c6cb52e，當前版本 1.0.0）。SkillHub 分類爲 ai-agent，頁面簡介爲：競態條件專用技能，幫助 AI Agent 高效完成相關任務。
包內 SKILL.md 的定位更接近英文標題所表達的 Race Conditions — Testing & Exploitation Playbook：把競態當作授權與狀態完整性問題來建模，並給出測試側的路由與證據關注點。元數據標明 MIT 許可、requires_api_key=false（無需 API Key），並聲明可在 Claude Code、Codex、Hermes Agent、OpenClaw、QClaw、WorkBuddy 等框架下使用；倉庫與主頁字段指向 GitHub 用戶 1991513ccie-png。
核心功能¶
以下能力均來自已安裝的 SKILL.md 正文與 frontmatter，不展開包外未覈實的內容。
- 問題建模：將競態視爲非原子的 read-then-write，使多請求觀察到陳舊狀態；優先關注一次性操作或餘額類狀態變更。
- 測試組合思路：在授權範圍內，將並行傳輸（如 HTTP/1.1 last-byte sync、HTTP/2 single-packet、Turbo Intruder gates）與應用層證據（重複成功響應、餘額不一致、賬本重複行等）結合驗證。
- 任務路由：涉及業務流程、優惠券、庫存或一次性獎勵時，從本 Skill 起步，並提示交叉加載
business-logic-vulnerabilities。 - 合規邊界：正文明確要求 Authorized testing only（僅授權測試）。
SkillHub 頁面當前顯示評分約 100000、下載 1093 次（統計以頁面爲準，會隨時間變化）。
安裝與啓用¶
下面介紹通過 SkillHub CLI 安裝到當前 Agent 能識別的 skills 目錄；未裝到正確目錄時，Agent 不會加載該 Skill。
1、檢查或安裝 SkillHub CLI
command -v skillhub && skillhub --version
若未安裝，可按官方安裝文檔執行完整安裝（CLI + 默認 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
僅安裝 CLI 時：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2、安裝本 Skill
安裝時必須用 --dir 指向當前環境的 skills 目錄。以 Cursor 爲例，常用路徑爲 ~/.cursor/skills/：
skillhub install race-condition-lr-kju9 --namespace user_3c6cb52e --dir ~/.cursor/skills/
其他客戶端路徑可參考 SkillHub 安裝文檔，例如 Claude Code 爲 ~/.claude/skills/，Codex 爲 ~/.codex/skills/ 或項目下的 .agents/skills/。安裝後按所用客戶端要求重啓或刷新，使 Agent 重新掃描 skills。
官方頁面也給出了面向 AI 的安裝話術：根據 https://skillhub.cn/install/skillhub.md 安裝 @user_3c6cb52e/race-condition-lr-kju9。
典型用法¶
本 Skill 採用通用 SKILL.md 格式：Agent 加載後讀取正文中的 AI LOAD INSTRUCTION。包內未附帶獨立腳本或 CLI 子命令，典型用法是讓 Agent 在競態相關任務中按下列要點行動（摘自 SKILL.md 加載說明，語義保持原文）：
- 把競態當授權/狀態完整性問題處理；優先一次性或餘額類操作。
- 並行傳輸與應用證據並重：傳輸側考慮 HTTP/1.1、HTTP/2、Turbo Intruder 等思路；證據側關注重複成功、餘額不一致、賬本重複行。
- 業務邏輯類場景與
business-logic-vulnerabilities交叉引用。 - 全程限定在已授權測試範圍內。
用戶側只需在對話中描述目標接口、併發場景或可疑業務（如單次領取、扣款、庫存扣減），由已啓用 Skill 的 Agent 按 Playbook 組織步驟；無需額外配置項（requires_api_key=false）。
適用場景與注意¶
適合誰：在合法授權前提下做 Web/API 安全測試、業務邏輯審計，或希望 Agent 統一「競態 + 證據 + 傳輸」話術的安全工程師與研發。
限制與注意：
- 包體以單文件
SKILL.md爲主，篇幅較短，細節需結合目標系統與專業工具自行展開。 - 內容涉及測試與利用 Playbook，不得用於未授權環境；正文已寫明僅授權測試。
- SkillHub 元數據分類爲 ai-agent，而 Skill 內 frontmatter 寫有「安全與滲透測試」類目，使用時以實際
SKILL.md指引爲準。 - 與
@clawhub_mvogt99/race-condition等同名主題 Skill 不是同一座標，安裝時注意 namespace 與 slug。
結尾¶
「競態條件」把競態測試收斂成 Agent 可執行的 Playbook：狀態完整性視角、併發傳輸與業務證據、以及與業務邏輯 Skill 的銜接。若你需要在 SkillHub 查看版本與安裝說明，可打開：
- SkillHub 頁面：https://www.skillhub.cn/skills/user_3c6cb52e/race-condition-lr-kju9
- API 條目：https://api.skillhub.cn/user_3c6cb52e/race-condition-lr-kju9
