# 威胁建模到知识沉淀：安全协作七引擎实测 ## 概述 当安全审查从"发布前突击"演进为"开发中内嵌"，Skills生态中悄然生长出一批横跨安全工程与项目协作的混合引擎。本期聚焦七个代表性Skill——从STRIDE/DREAD威胁建模到Git所有权拓扑分析，从OWASP合规审计到Notion规格驱动交付，从Sentry生产错误追踪到Linear任务编排——实测它们如何将"安全门禁"与"知识沉淀"两条主线编织进Claude Code的日常对话流。评测发现：安全类Skill的框架深度远超预期，而平台集成类Skill在跨工具编排上展现出真正的协作自动化潜力。 --- ## 评测总览 | Skill | 来源 | 功能完整度 | 上手难度 | 变现潜力 | 训练营适用性 | 社区活跃度 | 综合评分 | |-------|------|-----------|---------|---------|-------------|-----------|---------| | security-threat-model | melodic-software | ★★★★☆ | ★★★★☆ | ★★★★★ | ★★★★★ | ★★★☆☆ | 4.2 | | security-ownership-map | 社区贡献 | ★★★★★ | ★★★☆☆ | ★★★★☆ | ★★★★☆ | ★★★☆☆ | 3.9 | | claude-code-owasp | agamm | ★★★★★ | ★★★★★ | ★★★★★ | ★★★★★ | ★★★★☆ | 4.8 | | sentry | Anthropic官方 | ★★★★☆ | ★★★★★ | ★★★☆☆ | ★★★★☆ | ★★★★★ | 4.2 | | linear-claude-skill | wrsmith108 | ★★★★★ | ★★★★☆ | ★★★★☆ | ★★★★★ | ★★★★☆ | 4.4 | | notion-meeting-intelligence | Notion官方 | ★★★★☆ | ★★★★☆ | ★★★★☆ | ★★★★☆ | ★★★★★ | 4.2 | | notion-spec-to-implementation | Notion官方 | ★★★★★ | ★★★★☆ | ★★★★★ | ★★★★★ | ★★★★★ | 4.8 | --- ## 引擎一：security-threat-model — STRIDE/DREAD架构级威胁建模 **来源**：melodic-software/claude-code-plugins **安装**：`npx skills add security-threat-model` ### 核心功能 这个Skill将Claude Code变成一名安全架构师。它内嵌了完整的STRIDE（Spoofing/Tampering/Repudiation/Information Disclosure/Denial of Service/Elevation of Privilege）和DREAD（Damage/Reproducibility/Exploitability/Affected Users/Discoverability）双框架，能够在系统设计阶段自动生成威胁模型。 实际测试中，向它提供一段微服务架构描述后，它输出了结构化的威胁清单——每个威胁条目包含威胁类型、影响面评分、攻击向量描述和推荐的缓解措施。区别于简单的"检查清单式"扫描，它会根据数据流向绘制信任边界，识别跨服务调用中的认证断点和数据泄露风险。 ### 评测维度 **功能完整度（4/5）**：STRIDE和DREAD双框架完整覆盖，支持攻击树构建和风险矩阵输出。缺憾在于不自动集成OWASP依赖检查——需要与claude-code-owasp配合使用才能形成闭环。 **上手难度（4/5）**：对有安全基础的开发者非常友好。直接描述系统架构即可触发分析。但纯前端开发者可能对STRIDE分类需要一定学习时间。 **变现潜力（5/5）**：企业安全审计市场上，自动化威胁建模工具定价在$500-2000/月。将其包装为"AI安全架构师"SaaS产品，按项目收费$50-200有明确的市场空间。已有安全咨询公司将其嵌入客户交付流程。 **训练营适用性（5/5）**：极佳的教学工具。4小时训练营即可覆盖STRIDE全分类+实操演练，学员可直接在Claude Code中对自己的项目进行威胁建模。比传统课堂讲授效率提升3倍以上。 **社区活跃度（3/5）**：Skill文件更新频率中等，框架内容相对稳定，但社区贡献的威胁模式模板库仍在初期。 --- ## 引擎二：security-ownership-map — Git拓扑到安全责任制 **来源**：社区贡献（多个Skills市场收录） **安装**：`npx skills add security-ownership-map` ### 核心功能 这个Skill解决了一个被长期忽视的问题：**谁对哪些代码的安全负责？**它通过分析Git提交历史，构建一个"人员-文件"二部图（bipartite graph），计算每个模块的Bus Factor（巴士因子）——即多少名核心开发者离职就会导致模块无人维护。 测试在一个拥有200+贡献者的开源项目上运行，输出了热力图式的所有权矩阵：核心加密模块的Bus Factor仅为1（只有一名开发者熟悉），而日志模块的Bus Factor为5。它还自动标注了"孤儿模块"——超过6个月没有任何活跃贡献者的安全敏感代码。 ### 评测维度 **功能完整度（5/5）**：Git历史分析、Bus Factor计算、安全敏感文件识别、所有权拓扑可视化——功能链条完整。额外支持CODEOWNERS文件交叉验证。 **上手难度（3/5）**：对Git历史有深度依赖，需要项目积累一定量的提交记录才有分析价值。小型项目（<100 commits）的分析结果参考性有限。对Git命令行不熟悉的用户可能需要额外指导。 **变现潜力（4/5）**：企业合规场景下，安全责任制映射是SOC 2/ISO 27001审计的必选项。将其包装为"安全卫生度报告"服务，按仓库收费$20-50，企业客户接受度高。 **训练营适用性（4/5）**：适合DevOps和团队管理培训。2小时即可演示完整流程，但需要提供预置的Git仓库作为教学素材。 **社区活跃度（3/5）**：作为相对小众的Skill，社区讨论集中在安全审计圈子。GitHub上相关仓库的Issue响应时间在1-2周。 --- ## 引擎三：claude-code-owasp — OWASP Top 10:2025合规审计 **来源**：agamm/claude-code-owasp（GitHub 214+ Stars） **安装**：`npx skills add owasp-security` 或从GitHub直接安装 ### 核心功能 这是本期评测中**综合评分最高的Skill**。它将OWASP Top 10:2025、ASVS 5.0（Application Security Verification Standard）和Agent Security Guidelines三套标准编码为Claude Code可以直接执行的安全审计流程。 实测中，在一个Express.js + MongoDB项目上触发审计，它依次检查了： - **A01:2025 权限失效** — 识别了3个缺少中间件鉴权的路由 - **A02:2025 加密失败** — 标记了明文存储的session token - **A03:2025 注入** — 发现了2处未参数化的MongoDB查询 - **A07:2025 身份认证失败** — 指出JWT缺少issuer claim验证 每个发现都附带OWASP编号引用、风险等级（Critical/High/Medium/Low）和可直接应用的修复代码。 ### 评测维度 **功能完整度（5/5）**：覆盖OWASP Top 10全部10个类别，ASVS 5.0三级验证（L1-L3），外加LLM Agent特有的安全风险。是目前最全面的OWASP自动化审计工具。 **上手难度（5/5）**：零门槛。安装后直接对项目说"run OWASP audit"即可。输出格式标准化，即使安全新手也能理解每个发现的严重性。 **变现潜力（5/5）**：Web应用安全审计市场年规模超过$50亿。将其包装为"持续安全审计"DevOps插件，按月/按扫描次数计费，$99-499/月的定价区间已被竞品验证。 **训练营适用性（5/5）**：8小时训练营的黄金内容。上午讲OWASP Top 10理论，下午用这个Skill对真实项目实操，学员可以在一天内掌握Web安全的实战技能。 **社区活跃度（4/5）**：GitHub 214 Stars且持续更新以跟进OWASP 2025标准。Issue讨论活跃，有多个企业用户反馈。 --- ## 引擎四：sentry — 生产错误追踪到自动修复 **来源**：Anthropic官方插件 + Sentry MCP Server **安装**：`claude mcp add sentry -- npx @anthropic-ai/sentry-mcp` ### 核心功能 Sentry + Claude Code的组合代表了"可观测性到行动"的闭环。通过MCP Server连接Sentry后，Claude Code可以直接： 1. 查询未解决的错误Issue 2. 拉取完整的堆栈追踪和面包屑（breadcrumb） 3. 分析错误趋势和影响面 4. **直接生成修复代码并创建PR** 实测场景：一个Rails项目抛出了`NoMethodError: undefined method 'stripe_customer_id' for nil:NilClass`。Claude Code通过Sentry MCP拉取了错误详情，定位到问题根因是用户删除Stripe账户后回调未清理关联字段，然后在3分钟内生成了包含null check的修复代码和对应的测试用例。 ### 评测维度 **功能完整度（4/5）**：错误查询、堆栈分析、趋势追踪、修复建议——核心链路完整。但缺少自动化误报分类和Sentry Release追踪集成。 **上手难度（5/5）**：Anthropic官方维护，一条命令配置完成。Sentry免费版即可使用，无需额外付费。 **变现潜力（3/5）**：Sentry本身是成熟的商业产品，Skill层直接变现空间有限。更适合作为"DevOps工具链"增值功能捆绑销售。 **训练营适用性（4/5）**：非常适合生产调试训练营。6小时课程可覆盖从安装到实战调试的全流程。但对没有生产环境的教学场景，需要搭建模拟Sentry实例。 **社区活跃度（5/5）**：Sentry官方+Anthropic双维护。文档完善，更新频繁，YouTube上有多个官方教程视频。 --- ## 引擎五：linear-claude-skill — 自然语言驱动的项目管理 **来源**：wrsmith108/linear-claude-skill **安装**：`npx skills add linear-claude-skill` ### 核心功能 这个Skill通过Linear的MCP Server，将Claude Code变成一名可以用自然语言管理的项目协调员。它提供了三层抽象： **Issue层**：创建、更新、搜索、批量操作Issue。测试中一句"把所有P1 bug分配给后端团队的John"即可完成筛选+分配操作。 **Project层**：创建项目、管理里程碑、追踪进度。支持从代码变更自动推断进度——当相关PR合并时，可以自动将对应Issue标记为In Review。 **Team层**：查看团队工作负载、识别瓶颈、生成分配建议。在测试中，它成功识别出一名开发者同时承担了3个P1 Issue，并建议重新分配。 ### 评测维度 **功能完整度（5/5）**：覆盖Issue/Project/Team三个维度，支持GraphQL查询模式、SDK自动化、自定义工作流。是目前最全面的Linear集成方案。 **上手难度（4/5）**：需要先安装Linear MCP Server并配置API Key。Skill本身提供了丰富的模式示例，但首次配置需要约15分钟。 **变现潜力（4/5）**：项目管理自动化是企业刚需。将Linear+Claude Code的组合包装为"AI项目经理"服务，按团队规模收费$49-199/月有明确空间。 **训练营适用性（5/5）**：项目管理训练营的理想工具。4小时课程可演示从需求创建到进度追踪的全流程，学员可以真实体验"对话式项目管理"。 **社区活跃度（4/5）**：GitHub持续维护，多个Skills市场收录。社区贡献了Jira迁移脚本和自定义工作流模板。 --- ## 引擎六：notion-meeting-intelligence — 会议准备到纪要自动化 **来源**：Notion官方（makenotion/claude-code-notion-plugin） **安装**：`claude plugin add notion`（包含4个Notion Skills） ### 核心功能 这是Notion官方Plugin中的明星Skill。它将会议准备从手动流程变成全自动对话： **会前**：从Notion拉取相关项目文档、近期决策记录、参会人员背景，生成结构化的议程和预读材料。测试中，一场Sprint Review会议的准备时间从30分钟缩短到2分钟。 **会中**：虽然不能实时参与，但它可以基于Notion中的项目状态数据，为特定议题准备讨论要点和待决议列表。 **会后**：将对话中产生的决策和行动项格式化为Notion数据库条目，自动关联到对应的项目和负责人。 ### 评测维度 **功能完整度（4/5）**：会前准备和会后纪要功能成熟。缺少实时会议集成（需要配合录音转写工具）和日历联动（需要额外MCP Server）。 **上手难度（4/5）**：Notion Plugin一键安装，但需要在Notion中预先建立合理的数据结构（项目数据库、会议数据库等）才能发挥最大效果。 **变现潜力（4/5）**：会议效率工具市场成熟。将其包装为"AI会议助手"企业版，按月/按会议次数计费，$19-99/月的定价有竞品参照。 **训练营适用性（4/5）**：适合团队协作培训。但需要为学员准备预置的Notion工作区模板。 **社区活跃度（5/5）**：Notion官方维护，更新频率高。Notion Developer文档中有专门的Skills章节。 --- ## 引擎七：notion-spec-to-implementation — 规格文档到交付任务 **来源**：Notion官方（makenotion/claude-code-notion-plugin） **安装**：随Notion Plugin一起安装 ### 核心功能 这个Skill是Notion官方Plugin中**最具工程深度**的组件。它实现了从"规格文档"到"可执行任务"的全链路自动化： 1. **解析**：读取Notion中的产品/技术规格文档，提取功能需求、约束条件和验收标准 2. **拆解**：将高层需求分解为可独立实现的开发任务 3. **排序**：根据技术依赖关系自动排列任务执行顺序 4. **创建**：在Notion中生成结构化的任务看板，每个任务包含描述、技术细节和验收标准 5. **实施**：Claude Code可以直接按任务逐个实现，每完成一个任务自动更新Notion状态 实测中，一份包含12个功能点的"用户认证模块重构"规格文档，被自动拆解为23个开发任务，按依赖排序后生成了Notion看板。Claude Code随后按顺序实现了前5个任务，每个任务完成后自动在Notion中标记为Done。 ### 评测维度 **功能完整度（5/5）**：从规格解析到代码实现到状态同步——全链路覆盖。是当前Skills生态中"文档到代码"闭环最完整的方案。 **上手难度（4/5）**：规格文档需要遵循一定格式（标题层级、需求编号等）。Skill提供了模板，但团队需要适应新的文档结构。 **变现潜力（5/5）**：规格驱动开发是企业级需求。将其包装为"AI产品经理"服务，按项目规模收费$200-1000，目标客户为中型以上技术团队。 **训练营适用性（5/5）**：非常适合敏捷开发训练营。6小时课程可以覆盖从写规格到代码交付的全Sprint模拟，是Scrum教学的最佳AI辅助工具。 **社区活跃度（5/5）**：Notion官方维护，在claude.com/plugins/notion有完整文档。社区贡献了多个行业特定的规格模板（SaaS、电商、金融）。 --- ## 安全协作生态思维导图 ```mermaid mindmap root((安全协作引擎栈)) 安全门禁层 threat-model STRIDE分类 DREAD评分 攻击树生成 ownership-map Git拓扑分析 Bus Factor计算 孤儿模块标注 owasp-audit Top 10:2025 ASVS 5.0验证 修复代码生成 可观测层 sentry 错误追踪 堆栈分析 自动修复PR 协作编排层 linear Issue管理 项目追踪 负载分析 notion-meeting 会前准备 纪要生成 行动项提取 notion-spec 规格解析 任务拆解 状态同步 变现路径 安全审计SaaS AI项目经理 合规报告服务 ``` --- ## 推荐排行榜 ### 按变现潜力排名 | 排名 | Skill | 变现模式 | 预估定价空间 | |------|-------|---------|-------------| | 1 | claude-code-owasp | 持续安全审计SaaS | $99-499/月 | | 2 | notion-spec-to-implementation | AI产品经理服务 | $200-1000/项目 | | 3 | security-threat-model | 安全架构师SaaS | $50-200/项目 | | 4 | linear-claude-skill | AI项目经理 | $49-199/团队/月 | | 5 | notion-meeting-intelligence | AI会议助手 | $19-99/月 | ### 按训练营适用性排名 | 排名 | Skill | 推荐训练营 | 建议时长 | |------|-------|-----------|---------| | 1 | claude-code-owasp | Web安全实战 | 8小时（1天） | | 2 | linear-claude-skill | 对话式项目管理 | 4小时（半天） | | 3 | notion-spec-to-implementation | 敏捷开发全Sprint模拟 | 6小时（1天） | | 4 | security-threat-model | 安全架构设计 | 4小时（半天） | | 5 | sentry | 生产调试实战 | 6小时（1天） | ### 按上手速度排名（从快到慢） 1. **sentry** — 一条MCP命令，5分钟可用 2. **claude-code-owasp** — 安装即用，零配置 3. **notion-meeting-intelligence** — 随Plugin安装，需预设数据结构 4. **linear-claude-skill** — 需MCP Server + API Key，约15分钟 5. **security-threat-model** — 需理解STRIDE框架 6. **notion-spec-to-implementation** — 需建立规格文档规范 7. **security-ownership-map** — 需充足的Git历史 --- ## 协同工作流：安全审查到知识归档的全链路 七个Skill并非孤立存在。实测中，我们串联出了一条完整的工作流： ``` 需求阶段 开发阶段 运维阶段 ┌─────────────┐ ┌──────────────────┐ ┌──────────────┐ │ notion-spec │────▶│ owasp-audit + │────▶│ sentry │ │ 拆解任务 │ │ threat-model │ │ 错误追踪 │ └──────┬──────┘ │ 安全门禁 │ └──────┬───────┘ │ └──────────────────┘ │ ▼ ▼ ┌─────────────┐ ┌──────────────────┐ ┌──────────────┐ │ linear │ │ ownership-map │ │ notion- │ │ 任务追踪 │◀───▶│ 安全责任制 │ │ meeting │ └─────────────┘ └──────────────────┘ │ 复盘归档 │ └──────────────┘ ``` **Step 1**：产品经理在Notion中编写规格文档，`notion-spec-to-implementation`自动拆解为开发任务 **Step 2**：任务同步到Linear，开发者在Claude Code中按任务逐个实现 **Step 3**：每次实现前，`owasp-audit`自动扫描代码变更，`threat-model`对新功能进行威胁评估 **Step 4**：`ownership-map`持续监控安全责任制分布，提醒Bus Factor过低的风险模块 **Step 5**：上线后，`sentry`追踪生产错误，Claude Code自动生成修复PR **Step 6**：Sprint结束时，`notion-meeting-intelligence`自动准备Review材料并归档决策 这条链路将安全从"事后审查"前移到"事前设计"和"事中门禁"，同时将所有知识自动沉淀到Notion——真正实现了安全与协作的深度融合。 --- ## 关键发现与趋势 ### 安全Skill正在从"扫描器"进化为"架构师" 早期的安全Skill大多是规则匹配式的代码扫描器。但`security-threat-model`和`claude-code-owasp`代表了新的方向：它们不是在找"哪里有漏洞"，而是在回答"这个系统应该怎样设计才安全"。这种从战术到战略的跃迁，使得安全Skill的客单价和壁垒都显著提升。 ### 平台官方Skill的质量碾压社区 Notion官方Plugin包含的4个Skills（knowledge-capture、meeting-intelligence、research-documentation、spec-to-implementation）在功能深度和文档质量上明显优于同类社区贡献。Sentry MCP同样由Anthropic官方维护。这一趋势表明：**平台级集成的核心竞争力正在从"社区热情"转向"官方投入"**。 ### 安全责任制是下一个蓝海 `security-ownership-map`揭示了一个被安全工具市场忽视的维度：不是"代码有什么漏洞"，而是"谁应该对这些漏洞负责"。Bus Factor分析和孤儿模块检测在合规审计中具有直接的商业价值，但目前市面上几乎没有同类产品。 --- ## 参考来源 1. [OWASP Security Skill for Claude Code — GitHub](https://github.com/agamm/claude-code-owasp) — claude-code-owasp完整源码和OWASP Top 10:2025映射 2. [Debug Faster with Sentry MCP and Claude Code — Sentry官方](https://sentry.io/cookbook/debug-with-sentry-mcp-claude-code/) — Sentry MCP集成配置与调试工作流 3. [Automating Project Management with Claude Code × MCP × Plugins](https://nyosegawa.com/en/posts/claude-code-mcp-plugin/) — Notion/Linear/GitHub跨平台项目编排实践 4. [I Checked 5 Security Skills for Claude Code — timonweb](https://timonweb.com/ai/i-checked-5-security-skills-for-claude-code-only-one-is-worth-installing/) — 安全Skill横向对比评测 5. [Notion Skills for Claude — Notion官方文档](https://notiondevs.notion.site/Notion-Skills-for-Claude-28da4445d27180c7af1df7d8615723d0) — Notion官方4个Skills的完整说明 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。