Codex 只会写代码不够：装上这 8 个 Skill，它才真正开始帮你干活

你大概也有过这种时刻：让 Codex 改一个接口，它噼里啪啦写完，一跑，全红了——不是逻辑错，是它用的还是三年前的老 API。或者更憋屈的：你说要做个登录功能，它二话不说直接开写，写完你一看，需求理解全偏了，改起来的时间比自己写还长。

问题不在模型不够聪明，而在它缺「装备」。Codex 本体是个通用的编程大脑，但没装 Skill 的它，就像一个没带工具箱上门的师傅——手艺在，家伙什不在。最近一个讲 Codex 技能配置的视频在圈子里传得很广，列出了 8 个几乎人人在装的 Skill。我把它们挨个拆开讲：每个治什么病、怎么装、值不值得占你一个配置位。

先搞清楚：Skill 到底是什么东西

很多人把 Skill 和 MCP 混着叫，其实分工很清楚。

MCP 是「外部接口」：让 Codex 能连上 GitHub、数据库、浏览器这些外部世界。Skill 是「工作方法」：把一套做事的流程、规范、检查清单写进它的脑子里，让它在特定场景下按套路出牌。

从机制上说，一个 Skill 就是一个带说明的指令包，里面写清楚「遇到什么情况、按什么步骤做、做完要检查什么」。Codex 加载后会自动判断什么时候触发，你不需要每次手动喊它。这也是为什么 Skill 的性价比极高——写一次，之后每个项目都自动生效。

你可以在 Codex 里输入 /plugins 查看已装插件，/plugin marketplace add <仓库地址> 添加技能市场。下面这 8 个，按「治病」的思路分类讲。

先给你一张速览表，后面挨个展开：

| Skill | 一句话定位 | 治什么病 |

|---|---|---|

| Context7 | 实时拉最新官方文档 | API 版本过时、一写就报错 |

| Firecrawl | 全网抓取输出干净 Markdown | 调研要开十个标签页手动复制 |

| Grill-Me | 写代码前先拷问需求 | 需求理解偏、写完推翻重来 |

| Superpowers | 完整工程方法论（计划/TDD/审查） | 大项目流程失控、质量不稳 |

| GitHub MCP | 直连仓库，自动 PR、盯 CI | 写完还要切浏览器提交流程 |

| Codex IDE 扩展 | 编辑器内看 diff、一键指令 | 改了什么看不见，心里没底 |

| Trail of Bits | 20+ 安全检测技能 | 上线前没人查漏洞 |

| ECC | 200+ 技能包全家桶 | 不知道该装什么时的兜底 |

Context7：专治「API 一用就标红」

这是 8 个里我个人认为优先级最高的一个，来自 Upstash。

它解决的问题是：模型的训练数据有截止日期，你让它写新版本的框架代码，它可能给你用过时的写法——代码看着没错，一跑就报错，你还得自己去翻文档对版本。Context7 的做法是实时拉取最新官方文档，覆盖两万多个开源库，Codex 写代码之前先查当前版本的正确用法。

视频里给的几个数字很直观：自动检测废弃 API 并标红、直接给出最新写法替换、减少 80% 的返工时间。前两个是功能描述，第三个你可以自己感受——装上之后让它写一次升级迁移的代码，对比一下就知道了。

适合谁：只要你的项目依赖还在活跃更新的框架（React、Next.js、各种云 SDK），这个就该装。

Firecrawl：把全网资料变成干净的 Markdown

Firecrawl 本身是个老牌爬虫服务，做成 Skill 之后，Codex 就有了「上网调研」的手。

它的两个核心能力：整站爬取、自动翻页；输出干净的 Markdown。注意「干净」这两个字——普通爬虫抓回来的是一堆 HTML 标签和导航栏噪音，Firecrawl 输出的直接是可以喂给模型的正文结构。

实际用法举两个：让 Codex 调研一个技术方案，它自己去看官方博客、GitHub issue、社区讨论，然后汇总给你；或者抓竞品的文档站，一次性整理成对比表。视频里的场景是「技术博客自动整合」，本质上就是把「你手动开十个标签页复制粘贴」这个动作自动化了。

Grill-Me：写代码前，先被它拷问一遍

这个 Skill 的思路最反直觉，也最有意思。

名字起得很直白——Grill（拷问）。装上之后，你提需求它不写代码，先反问你：「新用户是用手机号还是邮箱注册？」「要不要验证码功能？」「错误提示怎么展示？」一轮拷问下来，需求里模糊的地方全被逼出来了，然后它再推荐技术方案、确认匹配度，才开始动手。

视频里的说法是「匹配度提升 90%，避免返工的第一道防线」。这个数字没法精确验证，但方向是对的：AI 编程返工的大头从来不是写错代码，而是理解错需求。把澄清需求这一步强制前置，省下的都是你自己的时间。

适合谁：接外包需求、做自己项目经常写到一半推翻重来的，必装。

Superpowers：把工程规范焊进它的脑子里

Superpowers 是这 8 个里最有来头的一个，作者是 obra，GitHub 上的明星项目，一套完整的「智能体软件开发方法论」：不只是一个 Skill，是一组可组合的技能加启动指令，覆盖从需求分析、写计划、TDD 测试驱动开发，到代码审查的全流程。

它的核心行为是：你一说要开发什么，它不直接写代码，先退一步问你真正想做什么，然后强制「先计划、再动工」，测试先行，写完自动审查。视频里标的数据是两万多 Star、返工率降低 70%。

我的实际感受是：Superpowers 适合正经做项目，不适合改两行代码的小活——流程规范对小任务是负担，对大项目是保命符。你按项目大小决定开不开。

GitHub MCP + Codex IDE 扩展：补上闭环的最后一公里

这两个放一起讲，因为它们共同解决「写完之后」的问题。

GitHub MCP 是官方的 MCP 服务器，装上后 Codex 可以直接操作你的仓库：写完功能自动创建 PR、关联对应 issue、盯着 CI/CD 的状态实时汇报。原来你要在终端、浏览器之间来回切换的事，现在一句话在对话里闭环。

Codex IDE Extension 则解决「看得见」的问题：编辑器内直接操作，选中一段代码一键下指令，修改以 diff 对比的形式直接展示在编辑器里，VS Code 和 Cursor 都支持。你不再需要切到终端看它到底改了什么——改动就在你眼前，接受或拒绝一个按键的事。

这两个装完，你的工作流会变成：想法 → 对话 → 编辑器里看 diff → 合并 → CI 自动跑完。全程不离开编辑器。

Trail of Bits + ECC：安全审查和弹药库

最后两个属于「进阶装备」。

Trail of Bits 是业内知名的安全公司，它发布的 Skills 市场提供二十多个安全检测技能，覆盖 OWASP Top 10、SQL 注入、XSS 专项检测，还能自动生成修复方案。视频里的说法是「比事后审计成本低 10 倍」——安全左移的道理：上线前被 AI 挑出注入漏洞，和上线后被白帽提交漏洞报告，完全是两种人生。它官方明确说明这套市场可以通过兼容层直接加载进 Codex。

ECC 则是个大而全的技能包合集，两百多个技能覆盖各类语言和框架，还带 63 个专项 Agent 和记忆持久化。这类「全家桶」的意义在于兜底：你不确定需要什么的时候，先装上，用到哪个触发哪个。

怎么装、按什么顺序装

别一口气全装，按你自己的痛点排序：

• 天天被 API 版本报错折磨 → 先装 Context7
• 需求经常理解偏、返工多 → Grill-Me + Superpowers
• 想让它能自己上网调研 → Firecrawl
• 一个人维护项目、没精力盯 PR → GitHub MCP
• 写完代码不敢直接上线 → Trail of Bits
• 以上都想要、懒得挑 → ECC 全家桶兜底

安装入口都在 Codex 的插件系统里：/plugin marketplace add <仓库> 添加市场，然后从市场里装具体技能。每个 Skill 都有独立的配置项，不想用的时候随时关掉，不留残留。

两个冷静提醒

第一，Skill 不是越多越好。每个 Skill 都会往上下文里塞指令，装几十个之后，模型的注意力被摊薄，反而变笨。我的建议是常驻不超过 5 个，按项目类型切换。

第二，数字要打折听。「返工率降低 70%」「匹配度提升 90%」这类数据来自技能宣传，听个方向就行，你自己的体感才是真的。装一个用一周，不行就关，迭代出自己的配置——这才是这些 Skill 存在的意义。

工具永远替代不了判断力。这 8 个 Skill 装上之后，Codex 会更像一个合格的搭档，但拍板的那个人，还是你。

新手最容易踩的三个坑

最后补一节实操里的坑，都是真实发生率最高的：

坑一：装完就忘，从不观察。 Skill 装上后是静默触发的，很多人装完用两天没感觉就忘了它的存在。正确姿势是头几天留意它的触发时机——比如 Context7 什么时候去查文档、Grill-Me 什么时候开始反问你，看懂了触发逻辑，你才知道怎么把需求喂得更准。

坑二：拿全家桶当保险箱。 ECC 这种两百多个技能的合集，装上不代表用了。它的价值在兜底，但你要定期翻一下触发记录，把真正常用的挑出来单独常驻，把半年没触发过的清掉。

坑三：需求说得越少，Skill 越神。 反了。Grill-Me 的拷问是兜底，不是替代。你一开始就把背景、约束、验收标准说清楚，拷问环节就会短很多，产出的方案直接能用。Skill 放大的是表达清楚的人，不是偷懒的人。

---