Optimizes application performance across frontend, backend, queries, and databases. Use when performance requirements exist, when you suspect performance regressions, when Core Web Vitals or load times need improvement, when N+1 query patterns need fixing, or when profiling reveals bottlenecks.
该 Skill 建议运行 `npx bundlesize` 和 `npx lhci`，但没有固定包版本、校验来源或要求使用项目已锁定的依赖。若本机没有对应包，npx 可能从包注册表下载并立即执行代码。
在开发机或 CI 权限下执行被替换、被劫持或与预期不兼容的包代码，可能接触源码、环境变量和 CI 凭据，并改变构建结果。
源码确实建议在 CI 中运行两个未指定版本的 npx 包，也没有在这些命令附近要求只使用已锁定的本地依赖。npx 在缺少本地包时可能下载并执行注册表代码，因此存在供应链与 CI 凭据暴露风险；这证明的是可行风险，不代表恶意代码已经执行。
**Enforce in CI:**```bash# Bundle size checknpx bundlesize --config bundlesize.config.json# Lighthouse CInpx lhci autorun```示例直接为“API responses”设置 `public, max-age=300`，没有在代码旁限定为公开、与用户无关的响应。文档其他位置虽给出正确警告，但复制该片段或自动应用它仍可能漏掉限制。
若端点返回登录用户、租户或权限相关内容，浏览器、代理或 CDN 的共享缓存可能在五分钟内把一个用户的响应提供给另一个用户。
示例直接把未展示鉴权或个性化条件的“API responses”标记为可由共享缓存保存五分钟。若复制到含用户、租户或权限数据的接口，其他用户可能收到缓存内容。文档随后明确说明缓存键必须包含查看者等输入，并禁止错误缓存每用户数据，这降低了误用可能，但没有让该通用代码片段本身变得安全。用户可要求示例仅用于明确公开且响应一致的端点。
// HTTP caching headers for static assetsapp.use('/static', express.static('public', { maxAge: '1y', // Cache for 1 year immutable: true, // Never revalidate (use content hashing in filenames)}));// Cache-Control for API responsesres.set('Cache-Control', 'public, max-age=300'); // 5 minutes```| Shared (Redis, Memcached) | All instances | Instances must agree, or the value is expensive to recompute | A network hop, and another service to run and monitor || CDN / edge | Everyone, per URL | Responses are public and identical for a given key | Invalidation is the hard part; assume you cannot recall a bad response quickly |**Key design decides correctness.** Every input that changes the response belongs in the key: tenant, locale, permissions, feature flags. A key that omits the viewer is how one user's data gets served to another, and that ships as a performance win.**Do not cache:** anything whose staleness is a correctness bug (balances, permissions, inventory at checkout), or per-user data under a key that does not identify the user. See `../../references/performance-checklist.md` for request coalescing, write strategies, negative caching, and the cache checklist.// Cache-Control for API responsesres.set('Cache-Control', 'public, max-age=300'); // 5 minutes```安装命令没有指定依赖版本。同样的命令以后可能下载不同代码，你实际安装的内容可能与这次检查时不同。
即使命令和报告没变，以后安装时也可能下载到另一份代码。
这是用于 CI 的实际命令示例，不只是文字提及。它通过 `npx` 执行未固定版本的 `bundlesize`；如果项目中没有已锁定的本地副本，npx 可能下载并运行注册表当时提供的代码，使日后执行内容发生变化。用户可要求作者固定版本并说明应使用项目锁文件中的依赖。
该 CI 示例通过 `npx` 执行未固定版本的 Lighthouse CI。若项目未预装并锁定该包，执行时可能联网获取并立即运行不同版本的代码，影响运行环境和 CI 凭据可接触范围。用户可限制为锁文件中固定的本地依赖。
# Bundle size checknpx bundlesize --config bundlesize.config.json**Enforce in CI:**```bash# Bundle size checknpx bundlesize --config bundlesize.config.json# Lighthouse CInpx lhci autorun```# Lighthouse CInpx lhci autorun```该 Skill 的主要流程是先测量性能、定位瓶颈，再修改并复测；未达到阈值或造成测试失败的修改应撤回，随后添加监控或测试。
```1. MEASURE → Establish baseline with real data2. IDENTIFY → Find the actual bottleneck (not assumed)3. FIX → Address the specific bottleneck4. VERIFY → Measure again; keep or revert5. GUARD → Add monitoring or tests to prevent regression```它可能建议修改应用代码、数据库索引、连接池、缓存与 CI 配置，因此实际使用范围不只限于只读分析。
```sqlCREATE INDEX idx_tasks_owner_created ON tasks (owner_id, created_at DESC);```// GOOD: one pool per process, sized against the database's ceilingconst pool = new Pool({ max: 10, // instances × max must stay under max_connections idleTimeoutMillis: 30_000, connectionTimeoutMillis: 5_000, // fail fast instead of queueing forever});```**Enforce in CI:**```bash# Bundle size checknpx bundlesize --config bundlesize.config.json# Lighthouse CInpx lhci autorun```缓存部分明确提醒：缓存键必须包含租户、区域、权限和用户等所有影响响应的输入，并禁止把要求实时正确的数据或未区分用户的数据这样缓存。
**Key design decides correctness.** Every input that changes the response belongs in the key: tenant, locale, permissions, feature flags. A key that omits the viewer is how one user's data gets served to another, and that ships as a performance win.**Do not cache:** anything whose staleness is a correctness bug (balances, permissions, inventory at checkout), or per-user data under a key that does not identify the user. See `../../references/performance-checklist.md` for request coalescing, write strategies, negative caching, and the cache checklist.下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。
SKILL.md已纳入全文这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。
SKILL.md工作说明**Frontend:**```bash# Synthetic: Lighthouse in Chrome DevTools (or CI)**Backend:**```bash# Response time logging**Enforce in CI:**```bash# Bundle size check# Bundle size checknpx bundlesize --config bundlesize.config.json# Lighthouse CInpx lhci autorun```