JS 逆向方法论教 Agent 查清签名和动态 Cookie 的来路

用户要分析前端签名、加密参数、动态 Cookie，或接口采集总失败时，用这个 Skill。底层是开源的 hello_js_reverse_skill：一份面向 Web API 采集、前端签名分析和改版回归的方法论 Skill，回答三件事：问题在哪一层、走哪条链路、做到什么证据才算收口。注意：仓库没有声明许可证，使用前让用户知道这一点。

触发

用户说"这个接口的 sign 怎么来的""动态 Cookie 是 JS 写的还是服务端下发的""这段混淆 JS 怎么分析""WASM 签名怎么调""改版后签名失效了"。

硬性规则

1. 只分析你自己的目标，或有明确授权的目标。 授权范围不清楚，先停下来问用户，不要先动手。
2. 不对线上系统做扫描、攻击、绕过付费或访问控制、拒绝服务。 只读分析和本地分析优先。
3. 装东西、改配置之前先说一声，用户同意后再做。
4. 结论分三类： 亲眼看到的（带文件和位置）、推断的、没找到的（写"未知"，不写"不存在"）。
5. 不输出、不记录找到的密钥和令牌的完整内容，只报告它在哪里。
6. 只对自己的站点，或有授权、允许采集的数据做。 遵守站点条款和 robots 规则，不用来绕过付费、登录保护或验证码。
7. 用对照实验下结论，不凭感觉。 每个结论带强度（观察到、推断、未验证）。
8. 站点的具体规则只当"待验证案例"，不当通用结论。

安装

让 Agent 完成（推荐）：

帮我安装这个 skill：hello_js_reverse_skill
项目地址：https://github.com/WhiteNightShadow/hello_js_reverse_skill

手动安装：把仓库克隆到对应 Agent 的 skills 目录，例如：

git clone https://github.com/WhiteNightShadow/hello_js_reverse_skill.git ~/.codex/skills/hello_js_reverse_skill
git clone https://github.com/WhiteNightShadow/hello_js_reverse_skill.git ~/.cursor/skills/hello_js_reverse_skill

然后检查依赖：bash scripts/check-deps.sh。配套的浏览器抓包、源码定位和 Hook 调试，使用作者另一个项目 Camoufox MCP，安装前先问用户。

它能做什么

能力	说明
问题路由	按现象定位失败发生在哪一层，给出第一步和收口标准
对照实验	控制组、来源替换、单变量回读，结论分强度
签名来源隔离	取得未使用的值，拆开出值、会话和传输，验证绑定和新鲜度
原始 SDK 运行	入口定位、状态回放，不必还原内部算法
不透明令牌分析	信封、掩码、版式和批次对比
算法还原	Node.js 和 Python 双路径
混淆与 JSVMP	OB 混淆、控制流平坦化、自定义 VM，有效性按目标样本验证
Cookie 归因	分清 HTTP Set-Cookie 和 JS 写入
WASM	模块加载、环境补全和调用
协议层诊断	用对照实验确认 TLS、HTTP/2、频率限制是不是真的原因
通用采集	分页、去重、JSONL、断点恢复

仓库里还有可直接用的脚本：crypto-identifier.js（识别算法）、hook-generator.js（生成 Hook 代码）、sandbox-runner.js（VM 沙箱执行）、opaque-token-inspect.py（令牌批次分析）、experiment-ledger.py（在线门禁和尝试台账）。

输出格式

1. 失败发生在哪一层、走哪条链路。
2. 对照实验的设计和结果。
3. 结论强度和适用版本范围；换版本后的回归路径。
4. 交付物：可验证的采集程序或分析报告。