AI编程系列一：mcp、skill、rule如何让模型更强大

1. Task/Role (角色): 明确身份和目标 (System Prompt)。

2. Context/Content (内容): 提供处理任务所需的原始数据。

3. Instructions (指令): 详细的分步指导。

4. Examples (示例): Few-shot learning，校准输出。

5. Constraints (约束): 强调格式、安全、幻觉控制。

除非主动要求创建文档，否则请你不要创建

---
name: check-sql-injection
description: 检查 Go 源代码中潜在的 SQL 注入漏洞并提供修复步骤。
---

xxxxxxxxx

---
name: check-sql-injection
description: 检查 Go 源代码中潜在的 SQL 注入漏洞并提供修复步骤。
---
 
# SQL 注入检查 Skill
 
使用此 Skill 系统地审计 Go 代码中的 SQL 注入风险。
 
## 用户输入
 
text
$ARGUMENTS
 
 
如果用户提供了特定的文件或目录，则专注于检查这些内容。否则，检查整个代码库或当前打开的文件。
 
## 检查步骤
 
1.  **搜索数据库操作**
    -   查找标准 `database/sql` 调用：`Query`, `QueryRow`, `Exec`, `Prepare`。
    -   查找 ORM 使用（如 GORM, XORM）：`Where`, `Raw`, `Order`, `Select`。
 
2.  **分析查询构建**
    -   **关键**：检查 SQL 字符串是否使用以下方式构建：
        -   `fmt.Sprintf`
        -   字符串拼接 (`+`)
        -   `strings.Join`
    -   如果进入 SQL 字符串的任何变量来自外部源（函数参数、HTTP 请求等），则为高优先级漏洞。
 
3.  **验证参数化**
    -   确保查询使用参数占位符（例如 MySQL 的 `?`，Postgres 的 `$1`）而不是直接值注入。
    -   **安全代码示例**:
        go
        db.Query("SELECT * FROM users WHERE id = ?", id)
      
    -   **不安全代码示例**:
        go
        db.Query(fmt.Sprintf("SELECT * FROM users WHERE id = %s", id))
       
 
4.  **动态标识符检查**
    -   如果表名或列名是动态的，请验证它们是否针对严格的白名单进行了验证。
 
## 输出格式
 
对于发现的每个潜在漏洞，输出：
-   **位置**: `[file_path:line_number](file:///path/to/file#line)`
-   **问题**: 简要描述为什么它有风险。
-   **修复**: 显示如何使用参数化查询安全重写的代码片段。
 
## 参考规则
 
-   **禁止** 对 SQL 进行字符串拼接。
-   **禁止** 对 SQL 值使用 `fmt.Sprintf`。
-   **必须** 使用库提供的参数替换。
 

在这个文件内生成一个示例查询数据库的代码，请注意避免sql注入

package main
 
import (
	"database/sql"
	"fmt"
	// 实际项目中需要导入具体的数据库驱动，例如:
	// _ "github.com/go-sql-driver/mysql"
)
 
// User 代表数据库中的用户表结构
type User struct {
	ID       int
	Username string
	Email    string
}
 
// GetUserByUsername 演示如何安全地查询数据库，避免 SQL 注入
func GetUserByUsername(db *sql.DB, username string) (*User, error) {
	// ❌ 错误做法 (SQL 注入漏洞):
	// query := fmt.Sprintf("SELECT id, username, email FROM users WHERE username = '%s'", username)
	// err := db.QueryRow(query).Scan(&user.ID, &user.Username, &user.Email)
 
	// ✅ 正确做法 (使用参数化查询):
	// 使用 ? 作为占位符 (不同数据库驱动占位符可能不同，如 PostgreSQL 使用 $1)
	// 数据库驱动会自动处理转义，防止恶意 SQL 注入
	query := "SELECT id, username, email FROM users WHERE username = ?"
 
	var user User
	// Execute the query
	err := db.QueryRow(query, username).Scan(&user.ID, &user.Username, &user.Email)
	if err != nil {
		if err == sql.ErrNoRows {
			return nil, nil // 用户不存在
		}
		return nil, err
	}
 
	return &user, nil
}
 
func main() {
	// 模拟数据库连接 (仅作演示，实际代码需要真实的 DSN)
	// db, err := sql.Open("mysql", "user:password@tcp(127.0.0.1:3306)/dbname")
	// if err != nil {
	// 	log.Fatal(err)
	// }
	// defer db.Close()
 
	// 示例调用
	// user, err := GetUserByUsername(db, "admin' OR '1'='1") // 恶意输入测试
 
	fmt.Println("此文件演示了如何编写避免 SQL 注入的查询代码。")
	fmt.Println("关键点：始终使用 database/sql 提供的参数占位符 (?)，而不是字符串拼接。")
}
 

├── [SkillID]          # 以Skill唯一标识命名的目录（如SK-COMMON-VALIDATE-001）
│   ├── SKILL.md       # 核心：Skill元信息（必选）
│   ├── script/        # 扩展：可复用脚本（可选，按语言/场景拆分）
│   │   └── xxxx.py    # 脚本
│   └── references/    # 扩展：补充说明文档（可选，按内容类型拆分）
│       └── xxxxx.md          # 更详细的文档

---
name: ui-ux-pro-max
description: "UI/UX design intelligence. 50 styles, 21 palettes, 50 font pairings, 20 charts, 9 stacks (React, Next.js, Vue, Svelte, SwiftUI, React Native, Flutter, Tailwind, shadcn/ui). Actions: plan, build, create, design, implement, review, fix, improve, optimize, enhance, refactor, check UI/UX code. Projects: website, landing page, dashboard, admin panel, e-commerce, SaaS, portfolio, blog, mobile app, .html, .tsx, .vue, .svelte. Elements: button, modal, navbar, sidebar, card, table, form, chart. Styles: glassmorphism, claymorphism, minimalism, brutalism, neumorphism, bento grid, dark mode, responsive, skeuomorphism, flat design. Topics: color palette, accessibility, animation, layout, typography, font pairing, spacing, hover, shadow, gradient. Integrations: shadcn/ui MCP for component search and examples."
---