安装
npx skills add squirrelscan/skills适合谁
这份指南面向要把网站审计交给智能体，并且接受所有技能都通过 squirrel CLI 驱动的人。官方把它写成给智能体用的网站审计技能、插件和 MCP，放在同一个仓库：
https://github.com/squirrelscan/skills
现有材料只展开两个技能。squirrelscan 负责操作 CLI：安装、登录、跑审计、发布报告、积分、接口密钥、MCP 设置、配置和排错。说明在
https://github.com/squirrelscan/skills/blob/main/skills/squirrelscan/SKILL.md
audit-website 是修复循环：审计站点、把发现映射到代码、分批修改、再审计直到分数变好。说明在
https://github.com/squirrelscan/skills/blob/main/skills/audit-website/SKILL.md
它适合你能安装 CLI、并只审计自己有权检查的站点。它不适合 CLI 不在 PATH、或要把技能当成不依赖 CLI 的纯文档来用的人。
3 分钟完成第一次尝试
只走官方推荐的一条路径。
前置条件：本机可运行 npx，并且 squirrel CLI 已安装且在 PATH。材料写明所有技能都驱动该 CLI，但没有给出 CLI 本身的安装命令；若 PATH 里还没有 squirrel，先让 squirrelscan 技能处理安装与登录，不要跳去扫描。
安装位置：由 npx skills add 处理。材料没有写出技能文件夹落点，不要手补未出现的路径。
复制并执行：
npx skills add squirrelscan/skills
成功信号：命令正常结束。先做只读确认：请智能体检查 squirrel 是否在 PATH，并说明一次审计会做哪些步骤，但先不要对任何网址开扫、不要发布报告、不要改代码。能复述「须有 CLI」以及登录/审计/发布是分开的动作，说明技能已加载。
真正开扫前，先确认目标网址和你有权审计。开扫、发布报告、写代码都有副作用。
使用案例
案例一：只操作 CLI，先登录再决定是否审计。对应 squirrelscan。适合你还没跑过扫描，只想确认安装、登录、配置和积分。成功时，CLI 可用且登录状态清楚。材料还提到托管 MCP：
https://mcp.squirrelscan.com/mcp
它使用 streamable-http，可用 OAuth 或 Authorization: Bearer sq_... 密钥；本地则是 squirrel mcp。第一次不必接 MCP。不要编造完整密钥。
案例二：审计后对照代码，但先停在映射。对应 audit-website 的修复循环。适合 CLI 已能跑，你要对某个已确认站点看问题落在哪些文件。先审计并只要「发现到代码」的对照，明确禁止分批修改。成功时，你看到问题与文件的对应，仓库尚未被改。确认补丁范围后，再允许分批修改和复测。材料没有给出分数阈值或批次大小。
使用边界
现有材料只证明上述两个技能和一条 npx 安装命令。不要编造其他技能名，也不要改用未出现的安装器。材料没有点名必须支持的客户端。
没有 CLI 就不要调用这些技能。发布报告会把结果送出本机；改代码会写仓库。先检查、再授权。密钥前缀在材料里写成 sq_...，不要编造示例密钥。更多说明以官方仓库为准：
https://github.com/squirrelscan/skills