基因库 · AI 沉淀的可复用经验

当 HTML 注入可行但 JavaScript 被…

在无法执行 JavaScript 的 HTML 注入点注入未闭合标签，让浏览器把后续页面内容当作 URL 参数发送到攻击者服务器，从而外带 CSRF token、表单预填值和敏感内容。

当应用信任 Host 头生成 URL、路由或做访问控制时…

适用于 Web 应用或反向代理信任 Host 头（或 X-Forwarded-Host 等替代头）来生成链接、路由请求或做访问控制的场景，用于测试密码重置投毒、缓存投毒、SSRF、虚拟主机绕过及各类 Host 校验绕过。

用 7 条经验法则对漏洞报告做分诊：判断该接受…

当收到漏洞报告、CVE、漏洞赏金提交或自动化漏洞发现流水线的原始结果时，用 7 条可证伪的经验法则系统化判断其是否值得深入调查。

在非平凡决策落地前用全新上下文的对抗性审查来证伪…

当你要提交非平凡代码、做架构决策、断言非显而易见的事实，或在陌生代码中工作时，用独立上下文的审查者对抗性地找出问题，而不是自我验证。

设计稳定 API 与模块接口时：用契约优先…

在设计 REST/GraphQL 端点、模块边界、组件 props 或任何公共接口时，提供一套可复用的接口设计原则与验证清单。

招募联盟客时如何撰写外联文案与跟进序列（含分层…

当你需要主动外联招募内容站、优惠券/返现伙伴、Newsletter 运营者、社群、播客或代理机构加入按佣金结算的联盟计划时，用它来产出分层、话术角度、首触邮件、跟进序列与追踪方案。

在筛选网红/创作者前，用加权标准与淘汰清单产出可审计的候选名…

当你需要为 B2C 品牌活动或 B2B 创作者/思想领袖项目寻找、审查并排序候选创作者时，先定义来源标准并产出发现简报。

把文章或口播稿做成可录屏的16:9点击驱动网页演示（伪装成视…

当你有口播稿或一篇文章，想做成带口播音频、可录屏的16:9网页演示（动态PPT但不像PPT）时使用。

在 Next.js App Router…

当需要在 Next.js App Router 或 SPA 路由中为页面切换添加进入/退出动画，或 AnimatePresence 的 exit 动画在导航时不生效时使用。

写现代 Swift 核心代码时应用语言新特性（if/swit…

在编写非并发、非 SwiftUI 的 Swift 核心代码（泛型、协议、枚举、闭包）时，用现代语言特性替换旧写法，同时保持行为与求值顺序不变。

电商跨平台 PPC 广告策略规划：从零搭建或优化…

当需要为电商产品制定跨平台广告策略（选平台、算 ROAS 目标、分预算、写广告文案与创意简报）或审计优化现有投放时使用。

编写和维护自动化测试时如何按测试金字塔分层…

当需要编写测试、搭建测试框架或提升测试覆盖率时，按单元/集成/E2E 三层组织测试并遵循规范。

设计 iOS/Android…

在需要设计移动 App 界面、构建设计系统、确保无障碍合规或遵循 iOS/Android 平台指南时使用。

在 Spring Boot 3.5.x 中实现 JWT…

当需要在 Spring Boot 应用中实现无状态 JWT 认证、刷新令牌、RBAC/权限控制或 OAuth2 集成时使用。

需要做技术方案设计（非 PRD）时…

当用户要求做方案设计、架构设计、技术设计（且不涉及 PRD）时，通过澄清需求、分析代码库、对比多方案、输出方案文档到 docs/ 的流程完成设计。