· 7 分钟阅读
热榜这一周：助手技能仍占多数，PHP 源码和 PPT Master 挤进前十
本周 GitHub 热榜前十仍以编程助手技能为主：安全审计、SEO、设计口令、行为约束和岗位插件；php-src、PPT Master 与 Superpowers 也进了榜。Star 与许可证取自仓库接口。
GitHub 本周热榜 前十按页面顺序排列。多数仓库还是在给已经能改代码的助手补流程：怎么审安全、怎么查 SEO、怎么少猜意图，以及页面别再长成同一套默认样子。
和前几天相比，本周多了三处变化：php-src 以语言本体挤进第二；PPT Master 把文档做成可在 PowerPoint 里继续改的原生幻灯片；obra/superpowers 把一整套「先讨论再实现」的技能框架塞进多种编码助手。下面每个仓库的 Star、语言、许可证和创建时间来自 GitHub 仓库接口；热榜页的「本周新增」只说明它为何出现在这一周，不替代总 Star。README 没写的能力不写。
1. security-audit-skill
cloudflare/security-audit-skill
- 总 Star：52,911
- 本周新增：14,320
- 语言 / 许可证：JavaScript / MIT
- 创建时间：2026-06-18
是什么：一套可重复的安全审计流程，装进编程助手后按固定阶段推进，产出机器可读的记录。
给谁用：已经能派并行子代理的编码助手；本地还需要 Node.js，以及满足要求的系统沙箱。
本周看点：流程分六段，先画架构和覆盖账本，再按账本派猎人找问题，每个候选交给从没见过它的验证者证伪，最后落成 confirmed、needs_validation、rejected 三种记录，并再验一次源码主张。Cloudflare 博客里那套漏洞发现 harness 就是从这份 skill 长出来的。
限制：没有满足要求的系统沙箱时不会执行目标代码，线索停在 needs_validation；作者写明单次运行大约只能找到多次合计漏洞的一半。
2. php-src
- 总 Star：41,724
- 本周新增：960
- 语言 / 许可证：C / BSD-3-Clause
- 创建时间：2011-06-16
是什么：PHP 语言解释器的官方源码仓库，不是应用框架。
给谁用：要编译、调试或给 PHP 本身提补丁的人；日常写业务 PHP 一般不直接 clone 这里。
本周看点：热榜页把它排在第二，说明这周有不少人重新点开解释器本体。README 写的是构建与测试入口：./buildconf、./configure、make，以及用 make test 跑测试套件。新功能要走 RFC，并得到开发者接受；修 bug 不强制 RFC，有 GitHub issue 时在提交说明里引用即可。
限制：这是语言运行时仓库，体积和构建依赖都按贡献者环境设计；业务项目请用发行版或包管理器里的 PHP，不要把本仓库当日常依赖。
3. claude-seo
- 总 Star：24,024
- 本周新增：4,110
- 语言 / 许可证：Python / MIT
- 创建时间：2026-02-07
是什么：装进 Claude Code 的 SEO 审计插件，由多组专科代理并行出报告。
给谁用：代理机构、站内 SEO 和自由顾问；需要 Claude Code 1.0.33 或更新，以及 Python 3.11–3.14。
本周看点：/seo audit 会派出多组专科代理，覆盖技术 SEO、E-E-A-T、Schema、AI 搜索可见性、本地与电商等，并给出按优先级排的行动清单。/seo setup 会单独准备 Python 运行时和无头浏览器，不碰系统其余部分。
限制：没有 Google API 密钥时，Core Web Vitals 是实验室估算，索引状态从页面推断；关键内容要滚动或点击才加载的页面，结果可能偏噪。完整站点审计会并行很多代理，账单跟着 Claude Code 套餐走。
4. impeccable
- 总 Star：95,448
- 本周新增：9,713
- 语言 / 许可证：Rust / Apache-2.0
- 创建时间：2025-11-16
是什么：给编码助手用的设计口令集，用 polish、bolder、critique、audit 等命令改界面，并用确定性规则抓常见「AI 默认页」。
给谁用：已在用 Claude Code、Cursor、Codex、Copilot 等助手的前端开发者；npx 装技能，检测器也可单独在终端或 CI 跑。
本周看点：/impeccable init 先写出 PRODUCT.md，后续命令都读它；critique 按可用性打分，audit 按 P0–P3 排技术债，另有 62 条不调模型的规则扫 Inter、紫蓝渐变、套娃卡片这类套路。live 模式可在本地开发服务器上点选元素、热换变体再写回源码。
限制：作者写明它更擅长改已有界面；live 只应打在本地 checkout，不要注入线上站点，也不要为它放宽生产 CSP。
5. andrej-karpathy-skills
multica-ai/andrej-karpathy-skills
- 总 Star：226,468
- 本周新增：4,250
- 语言 / 许可证：未声明 / 未声明
- 创建时间：2026-01-27
是什么：一份行为约束，压成单个 CLAUDE.md，几乎不交付别的代码。
给谁用：想让助手少猜意图、少顺手改无关行的开发者。
本周看点：四条原则针对 Karpathy 指出的常见坑：先把假设说清楚，只写被要求的代码，不顺手改无关行，把任务改成带验证条件的目标。仓库里还有一份 Cursor 规则。
限制：README 自己提醒这套规则偏向谨慎，改错别字不必走全套；插件安装命令仍指向 forrestchang/andrej-karpathy-skills，不是当前这个仓库地址。
6. TradingAgents
- 总 Star：118,352
- 本周新增：5,557
- 语言 / 许可证：Python / Apache-2.0
- 创建时间：2024-12-28
是什么：用多组 LLM 代理模拟一家交易台的研究框架。
给谁用：研究多代理协作的人；至少要有一家模型供应商的密钥，或用自己的 ChatGPT Plus / Pro 订阅跑。
本周看点：基本面、情绪、新闻和技术分析先并行出报告，多空研究员辩论，交易员下决定，风险管理与组合经理再审。2026 年 10 月的 v0.7.x 写明可以用订阅账号跑，回测按决策后的收盘价结算，并修了模型日期读到事后文档的问题。
限制：README 把它定位成研究框架，结果随模型、温度、区间和数据质量变化，不构成投资建议；想复现时，推理模型往往会忽略 temperature。
7. ppt-master
- 总 Star：70,864
- 本周新增：4,980
- 语言 / 许可证：Python / MIT
- 创建时间：2025-12-10
是什么：跑在本机的 Agent Skill / 工作流，把文档或主题做成带原生形状、图表和母版的可编辑 .pptx。
给谁用：需要交可继续改的幻灯片、又已有 Claude / Codex / Cursor 一类能读写文件的 AI 工具的人；环境要 Python 3.10–3.14。
本周看点：
- 主路径是从材料生成整套幻灯片，也可从参考稿抽模板、往已有
.pptx填内容，或给成品加原生过渡、动画和备注旁白。 - 作者强调交付的是 PowerPoint 对象模型本身，不是铺平的图片；数据默认留在本机，费用主要是你选用的模型调用。
- README 推荐大上下文模型，并写明不要指望一遍出完美终稿，原生可编辑正是为了留给人收尾。
限制：质量上限由模型决定；便宜模型往往留下更多要手改的地方。SmartArt 是故意不做的能力边界，不是漏实现。
8. superpowers
- 总 Star：308,611
- 本周新增：4,894
- 语言 / 许可证：Shell / MIT
- 创建时间：2025-10-09
是什么：一套可装进多种编码助手的技能与工作流框架，默认先讨论需求与设计，再按任务拆开让子代理实现并复查。
给谁用：已经在用 Claude Code、Cursor、Codex、Gemini CLI 等助手、想把「先想清楚再写」固化成自动触发技能的人。
本周看点：安装后技能会在相关任务前自动加载；典型路径是 brainstorming 定规格，再走子代理驱动开发，按任务检查与继续。仓库同时给出各平台的插件或 marketplace 安装方式。
限制：维护者写明一般不接受外人贡献新技能，且改动必须能在他们支持的所有编码助手上成立；可选遥测会从配套页加载带版本号的图标，可用环境变量关掉。
9. knowledge-work-plugins
anthropics/knowledge-work-plugins
- 总 Star：33,862
- 本周新增：2,504
- 语言 / 许可证：Python / Apache-2.0
- 创建时间：2026-01-23
是什么：岗位插件集，每个插件由技能、斜杠命令和 MCP 连接器组合而成，给 Claude Cowork 准备，Claude Code 也能装。
给谁用：想把「我们公司怎么干活」写进助手的团队。
本周看点：开源了 11 个插件，覆盖效率、销售、客服、产品、市场、法务、财务、数据、企业搜索、生物医药检索，以及自己做插件。文件是 markdown 与 JSON，没有构建步骤。
限制：通用流程装完就能用，但 Slack、HubSpot、Snowflake 这类连接器要自己改 .mcp.json，不改就仍是一份起点模板。
10. taste-skill
- 总 Star：105,591
- 本周新增：4,359
- 语言 / 许可证：JavaScript / MIT
- 创建时间：2026-02-19
是什么：一份 Agent Skill，给编码助手定艺术方向、找参考图，并在真实浏览器里自检，而不是拼出平均水准的落地页。
给谁用：用 Claude Code、Codex 等助手做站点或 App 界面的人；脚本要 Node 22+，本机装有 Chrome、Edge 或 Chromium。
本周看点：装好后按 brief 抽三套方向再选定，页面里的照片来自开放档案并写明署名。单次构建大约要三十分钟到四十五分钟、消耗数十万 token。作者另开了 TasteCode 桌面端，但本仓库交付的仍是技能本身。
限制：找图需要网络；没有 API Key，但离开浏览器就完不成自检步骤。旧版若干技能名已迁到 taste-skill-classics 仓库。