周四的日榜前排又是 Astryx、daily_stock_analysis、Sure 这些这周写过的面孔。我往下翻、再看了看各语言分榜，挑了六个近一周没写过的。有意思的是，今天好几个项目都在回答同一个问题：AI 写代码已经很快了，可怎么让它写得对、写得省、写得不过时？
1. shadcn/improve：贵模型当顾问，便宜模型当工人
做 shadcn/ui 的那位 shadcn 出了个 Agent 技能，思路很干脆：最强、最贵的模型只用在「看懂代码库、判断什么值得做、写清楚方案」这一步，真正动手改代码交给便宜模型。README 里有一句话概括得很好：计划本身就是产品。
跑一次，它会先摸清仓库的技术栈和构建、测试命令，再派一群子 Agent 从正确性、安全、性能、测试覆盖、技术债这些方向去挑毛病。挑出来的问题它会自己回去核对一遍引用的代码位置，因为子 Agent 爱多报。你从表格里勾几条，它为每条写一份自带上下文的计划，每一步都附验证命令，还写明「遇到什么情况就停下来汇报」，专门照顾能力弱的小模型。
它给自己定的规矩是不改你的源码，只往一个计划目录里写文件，合并永远是你说了算。想试的话装一行就够：
npx skills add shadcn/improve
需要知道的是，这个仓库最近一次推送停在 9 月 12 日，这两个月星星涨得比代码快，当成一套思路和模板来用更合适。
GitHub：shadcn/improve · 10963★ · MIT
2. openai/codex-security：OpenAI 自己的代码安全扫描命令行
如果说 improve 是通用的代码体检，Codex Security 就是专看安全的那一科。它能扫整个仓库、指定目录或者某个分支改了什么，然后验证疑似漏洞、生成补丁，也能检查你已经修好的地方是不是真修好了。还能帮你起草 SECURITY.md、保存威胁模型，把结果推到 Linear、Jira 或 GitHub，或者导出成 SARIF 接进 CI。
在 Codex 里装上插件直接用最省事，命令行和 TypeScript SDK 适合放进自动化流程。模型不一定非得用 OpenAI 的，README 写了也支持 Amazon Bedrock、OpenRouter 和 Fireworks。
几处实话 README 自己写了。Node 版本卡得比较细，22.x 要 22.13 以上，或者 24、26。官方给的 GitHub Actions 每周扫描示例，每次预估上限 5 美元，但正在跑的请求可能超出这个数。有些网络安全相关的请求和受保护的发现，需要先申请 OpenAI 的 Trusted Access for Cyber。另外原来的本地看板已经删掉了，旧数据还在。
GitHub：openai/codex-security · 11801★ · Apache-2.0
3. GoogleChrome/modern-web-guidance-src：四家浏览器团队一起给 AI 补的前端课
让 AI 写前端，常见毛病是它爱用老写法：明明浏览器原生就有弹层、锚点定位、视图过渡，它还是给你塞一堆 JavaScript 和 polyfill。原因很简单，训练数据里老代码太多了。
Modern Web Guidance 就是治这个的一套技能，覆盖 250 个左右的现代 Web 特性，从容器查询、subgrid 到 Popover、View Transitions，再到浏览器内置的翻译和摘要 API。Agent 写代码时按需检索对应指南，只把需要的那一段塞进上下文。还有一个扫描命令，能找出代码库里可以换成现代写法的旧代码。
挂名的是 Chrome、Edge、Firefox 和 MDN 团队一起维护，这个背书比较少见。要注意，今天上榜的这个是「源码仓库」，放的是编写、校准和评测这些指南的代码；真正装给 Agent 用的内容在另一个仓库 GoogleChrome/modern-web-guidance（5160★）。普通用户直接跑官方安装向导就行：
npx modern-web-guidance@latest install
GitHub：GoogleChrome/modern-web-guidance-src · 1827★ · Apache-2.0
4. experientiallabs/experiential：自己管模型账单的开源网关
团队里好几个人、好几个 Agent 都在调大模型，账单一乱就很难查是谁花的。Experiential 是个开源的模型网关：托管模型、自带 Key 的模型和本地模型，统一走一个兼容 OpenAI 的接口；谁能用哪个模型、做什么用、最多花多少钱，都能在网关上卡住。第一次启动的向导会默认给一个 50 美元的命令预算。
更进一步，它想把你线上的真实调用记录变成一个定制路由，哪类请求该走哪个模型，按质量、速度和成本去优化，再往后还能拿这些记录去微调一个你自己拥有的开源模型。它还带了一个基于 Pi 的编码 Agent。
两点值得先知道。匿名的产品遥测默认是开着的，README 说不含提示词和凭据，想关有命令。从 Codex 和 Claude Code 桌面端抓流量的功能只支持 macOS，还标着实验性，作者写了网络稳定性仍在排查。
GitHub：experientiallabs/experiential · 16586★ · Apache-2.0
5. WhiteTowerAI/ohmygame：一个人的游戏工作室
做一个游戏，要写策划案、画 2D 图、做 3D 模型、剪视频、写代码，最后还得找地方发布，平时得开五六个工具。OhMyGame 把这些塞进一个桌面应用，所有东西都摆在一张画布上：你描述想做什么游戏，Agent 写策划案、生成素材、写代码，然后自己打开游戏试玩，发现问题就改了再玩一遍。
它能接 40 多家模型服务，也能直接让 Claude Code、Codex 或 OpenCode 来跑对话。做好的网页游戏可以一键发布成链接；装上插件还能对接 Godot、Unity、Unreal、Cocos，以及微信小游戏、抖音小游戏和 TapTap，README 写明平台不抽成。
它还在 beta，作者自己说会有毛边。安装包目前只有 Apple 芯片的 Mac 和 Windows x64，Intel Mac 和 Linux 在路线图上。本地做游戏不用注册，发布才需要账号；正式版会发使用数据和崩溃报告，可以在设置里关掉。
GitHub：WhiteTowerAI/ohmygame · 2112★ · Apache-2.0
6. ShayanAbbas1/dbdelve：不用 Electron 和 Java 的数据库客户端
嫌 DBeaver 启动慢、吃内存，又不想给 TablePlus 付费的，可以看看这个。DBDelve 用 Rust 和 Zed 编辑器那套 GPUI 写的，原生应用。作者自己跑的对比里，同一张 Postgres 表，启动 1.1 秒对 DBeaver 的 5.2 秒，空闲内存 133MB 对 606MB。
支持的库挺全：Postgres、MySQL、SQLite、DuckDB、SQL Server、MongoDB、Redis、ClickHouse 等等，其他有 ODBC 驱动的数据库也能连。我喜欢的几个细节：每个连接可以给标题栏上色，生产库一眼就认得出；改一个单元格，它先把 UPDATE 语句写出来给你看再执行；能直接导入 DBeaver 和 TablePlus 里存的连接。作者说不收集遥测，功能永远不收费。
需要注意的是，Mac 版没有做公证，Homebrew 安装会帮你清掉系统的隔离标记。协议后来从 MIT 改成了 GPL-3.0。走 ODBC 连的数据库不能在表格里直接编辑。
GitHub：ShayanAbbas1/dbdelve · 1104★ · GPL-3.0
