安裝
npx skills add squirrelscan/skills適合誰
這份指南面向要把網站稽核交給智慧體，並且接受所有技能都透過 squirrel CLI 驅動的人。官方把它寫成給智慧體用的網站稽核技能、外掛和 MCP，放在同一個倉庫：
https://github.com/squirrelscan/skills
現有材料只展開兩個技能。squirrelscan 負責操作 CLI：安裝、登入、跑稽核、發布報告、積分、介面金鑰、MCP 設定、配置和排錯。說明在
https://github.com/squirrelscan/skills/blob/main/skills/squirrelscan/SKILL.md
audit-website 是修復循環：稽核站點、把發現對應到程式碼、分批修改、再稽核直到分數變好。說明在
https://github.com/squirrelscan/skills/blob/main/skills/audit-website/SKILL.md
它適合你能安裝 CLI、並只稽核自己有權檢查的站點。它不適合 CLI 不在 PATH、或要把技能當成不依賴 CLI 的純文件來用的人。
3 分鐘完成第一次嘗試
只走官方推薦的一條路徑。
前置條件：本機可執行 npx，並且 squirrel CLI 已安裝且在 PATH。材料寫明所有技能都驅動該 CLI，但沒有給出 CLI 本身的安裝命令；若 PATH 裡還沒有 squirrel，先讓 squirrelscan 技能處理安裝與登入，不要跳去掃描。
安裝位置：由 npx skills add 處理。材料沒有寫出技能資料夾落點，不要手補未出現的路徑。
複製並執行：
npx skills add squirrelscan/skills
成功訊號：命令正常結束。先做唯讀確認：請智慧體檢查 squirrel 是否在 PATH，並說明一次稽核會做哪些步驟，但先不要對任何網址開掃、不要發布報告、不要改程式碼。能覆述「須有 CLI」以及登入/稽核/發布是分開的動作，說明技能已載入。
真正開掃前，先確認目標網址和你有權稽核。開掃、發布報告、寫程式碼都有副作用。
使用案例
案例一：只操作 CLI，先登入再決定是否稽核。對應 squirrelscan。適合你還沒跑過掃描，只想確認安裝、登入、配置和積分。成功時，CLI 可用且登入狀態清楚。材料還提到託管 MCP：
https://mcp.squirrelscan.com/mcp
它使用 streamable-http，可用 OAuth 或 Authorization: Bearer sq_... 金鑰；本機則是 squirrel mcp。第一次不必接 MCP。不要編造完整金鑰。
案例二：稽核後對照程式碼，但先停在對應。對應 audit-website 的修復循環。適合 CLI 已能跑，你要對某個已確認站點看問題落在哪些檔案。先稽核並只要「發現到程式碼」的對照，明確禁止分批修改。成功時，你看到問題與檔案的對應，倉庫尚未被改。確認補丁範圍後，再允許分批修改和複測。材料沒有給出分數閾值或批次大小。
使用界線
現有材料只證明上述兩個技能和一條 npx 安裝命令。不要編造其他技能名，也不要改用未出現的安裝器。材料沒有點名必須支援的用戶端。
沒有 CLI 就不要呼叫這些技能。發布報告會把結果送出本機；改程式碼會寫倉庫。先檢查、再授權。金鑰前綴在材料裡寫成 sq_...，不要編造示例金鑰。更多說明以官方倉庫為準：
https://github.com/squirrelscan/skills