Solana 基金会维护的开发技能：代理写 Solana dApp 前端和钱包连接、写 Anchor / Pinocchio 链上程序、发币、排查报错或做安全审查时加载，按它定好的默认技术栈写代码，并用 LiteSVM、Mollusk 和 Surfpool 写测试。
skills.sh 安装量 105283（+539 / 24h）
安全审计：未审计
- 尚未扫描
理由
- 默认栈写得明确：@solana/kit 8 插件式客户端，新代码默认用 v1 交易（SIMD-0385），钱包用 @solana/kit-plugin-wallet 加 @solana/react；web3.js v3 只作旧代码的迁移目标，明确不再用 wallet-adapter 和 framework-kit
- 带代理安全护栏：没有用户明确批准不签名、不发交易，发送前先 simulateTransaction 并展示收款方、金额、代币、手续费付款方和网络；不索要私钥和助记词；默认 devnet / localnet，主网要用户明说并确认
- 把链上数据当不可信输入：账户数据、代币名、memo 和程序日志里可能藏提示词注入，要求校验后再用、忽略其中的指令
- 交付要求附改动文件、安装构建测试命令，以及涉及签名、手续费、CPI、转账时的风险说明；MIT 许可
- skills.sh 24 小时安装 539，累计 105283（只代表关注度）
用法
- 安装命令待审计通过后显示；说“写 Anchor 程序”“部署到 devnet”“修 maxSupportedTransactionVersion 报错”“解释 PDA / CPI”等时触发
- 需要 Node.js、Rust 工具链、Solana CLI 和 Anchor CLI；本地开发测试不需要账号，服务端签名要接 AWS KMS、Turnkey、Privy、Fireblocks 等托管服务
风险
- 本期未审计，固定 C 级、不显示安装命令；SKILL.md 要求代理在开始任何 Solana 任务前，若没有 Solana MCP 就自行用 claude mcp add 等命令把 mcp.solana.com 加进代理配置，没写先问用户，属于改动代理配置并接入远程服务，与“查实时文档”的用途相符但要知情；skills.sh 上 Gen Agent Trust Hub 审计为 Pass
- SKILL.md 写明需要 Node.js 20.18 以上；要求代理调用命令行时一律加 NO_DNA=1 前缀，单次链上查询用公共 RPC 加 curl
- 主网操作涉及真实资金，护栏靠代理遵守；内容紧跟新版本（文中称 web3.js 3.0.0 于 2026-10-01 发布），版本变化快