新技能包让 Claude Code 等编程智能体写出更安全的后端代码

让 Claude Code、Codex 和 Cursor 像资深工程师一样编写后端代码的 agent skills： 默认在 auth、数据、资金和 schema 变更上保证安全。 我们让 agent 分别在加载和不加载这些 skills 的情况下完成 15 个后端任务，然后运行了一项 agent 始终看不到的隐藏检查：20 个买家同时抢 5 件库存、一个用户读取他人的订单、旧版应用在新 schema 部署过程中运行。 严重错误：未加载 skills 时 150 次运行中出现 25 次，加载后 150 次中出现 2 次。（Sonnet 5.5 和 Haiku 5.5，每个任务运行 5 次。） 出现严重错误的运行数，未加载 → 加载 skills 后。遗漏团队约定（down migrations、API 文档）的情况从 30 降到 4。尚未修复：Haiku 在 webhook 事件乱序时的表现。 每一次原始运行记录、任务以及复现方法都在 bench/ 中。 npx skills add globalmpc/backendskills Codex 及其他 AGENTS.md 类 agent：追加 dist/AGENTS.md。Cursor：将 dist/cursor/ 复制到 .cursor/rules/。 Skill agent 的默认行为 api-endpoint 将每个查询限定到调用者，把错误输入转为 4xx，对登录和高开销路由限流 data-integrity 对先读后写使用锁或条件更新，UNIQUE 约束，对任何收费或发送操作使用幂等键 db-migration 先扩展后收缩、并发索引、锁超时、批量回填、down migrations 每个 skill 末尾都有一个 Make it yours 部分，供你填写团队的选择（错误格式、API 文档）。 若保持“未设置”，agent 会遵循你仓库现有的做法。 加载 skills 后 agent 仍然出错？请提交 issue，附上 prompt 和 diff。 在 skills/ 中编辑 skills，然后运行 node scripts/build-dist.mjs。