本期为第三轮评测，聚焦工作流自动化赛道中尚未被覆盖的"安全门禁"分支——即在 CI/CD 流水线里充当安全闸、在部署前做防线、在监控侧闭环的代码级安全技能簇。过去数轮已把部署、版本发布、可观测、自治长跑逐一拆解，而真正决定"上线那一刻是否敢按"的安全门禁体系，至今仍是空白。我们从当前生态中拣选六个互相咬合的技能：security-ownership-map（风险面测绘）、security-threat-model（威胁建模）、security-best-practices（语言级安全规约）、security-review（差异级安全审查）、gh-fix-ci（红线修复）与 sentry（运行时闭环），按功能完整度 25%、上手难度 20%、变现潜力 25%、训练营适用性 15%、社区活跃度 15% 五维打分，回答一个问题：哪些技能值得装进生产流水线，哪些又能改造成付费产品。

评测对比表

逐个深度评测

1. security-ownership-map —— 把"谁懂这块代码"做成风险指标

来源与用法：该技能源于社区对 ownermap、busfactor 等 git 归属分析工具的工程化封装。它分析 git 历史，构建"人—文件"安全归属拓扑，计算巴士因子（bus factor / truck factor）与敏感代码归属集中度，并导出 CSV/JSON 供图数据库或可视化工具消费。调用方式通常是显式提问"做一次安全归属/巴士因子分析"。

核心演示：在一个 50 万行的单体仓库上，它能指出哪些鉴权、密钥处理、支付逻辑只有 1 名贡献者实质掌握——这正是"中了彩票就瘫痪"的单点风险。技能会区分 CODEOWNERS 文件声明归属与 git 历史真实归属之间的落差，这是它区别于普通贡献者统计的关键。

五维评分：功能完整度 ★★★★☆（4）——可直接导出结构化数据；上手难度 ★★★★☆（4）——纯 git 驱动，无需额外依赖；变现潜力 ★★★★☆（4）——对标 Calyntro 这类面向 CTO 的知识风险仪表盘，可包装成"工程健康度 SaaS"；训练营适用性 ★★★★☆（4）——极佳的代码社会学教材；社区活跃度 ★★★☆☆（3）——细分但持续有讨论。

变现与竞品：竞争对手是 git-fame、git-quick-stats 等统计工具，但它们只算数量不算风险。技能的商业化路径是"每周风险简报订阅"：扫描企业所有仓库，输出巴士因子恶化告警与继任者推荐。训练营里它最适合作为 4 课时"开源治理"模块的开场，让学员亲手算出自己项目的彩票数。

2. security-threat-model —— 让威胁建模回到代码本身

来源与用法：受 Anthropic 官方《Using LLMs to Secure Source Code》方法论启发，社区出现多个变体（如 Kraxi 的 8 阶段 code-first 威胁建模技能）。本技能要求"显式请求威胁建模"，强调仓库落地：枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，最终写出一篇简洁的 Markdown 威胁模型。

核心演示：给定一个带 OAuth 回调的微服务，它不会泛泛而谈"注意 SQL 注入"，而是沿着真实代码路径指出 redirect_uri 校验缺失这一具体滥用路径，并标出对应文件行号。这种"代码优先"是它与传统白板威胁建模的分水岭。

五维评分：功能完整度 ★★★★☆（4）——产出可直接归档；上手难度 ★★★☆☆（3）——需要读者具备安全词汇；变现潜力 ★★★★☆（4）——威胁建模即服务（TMaaS）是甲方安全团队刚需；训练营适用性 ★★★★★（5）——讲解 STRIDE/DREAD 的活教材；社区活跃度 ★★★☆☆（3）。

变现与竞品：对手是 IriusRisk、ThreatModeler 等重型平台，定价高昂且偏流程。技能的优势是轻、快、贴代码。商业化可走"每次架构评审 200 元、24 小时交付 Markdown 威胁模型"的轻咨询模式。训练营中作为 8 课时的 AppSec 核心实验，让学员对自己的毕业项目建模再互评。

3. security-best-practices —— 安全规约的语言级 linter

来源与用法：这是一个"窄而深"的技能，仅对 Python、JavaScript/TypeScript、Go 三类语言生效，且触发严格——只有用户明确要求安全最佳实践、安全评审或安全默认编码时才启动，绝不抢一般代码审查的活。

核心演示：在 Python 项目里，它会逐项检查是否使用了参数化查询、密码是否走 hashlib.pbkdf2/argon2、subprocess 是否带 shell=True。在 Go 里关注 crypto/rand 而非 math/rand 生成令牌。产出是一份"违反哪条、为什么、怎么改"的清单。

五维评分：功能完整度 ★★★☆☆（3）——语言覆盖窄是其刻意取舍；上手难度 ★★★★★（5）——门槛最低；变现潜力 ★★★☆☆（3）——单独收费难，更适合捆绑；训练营适用性 ★★★★☆（4）——按语言教安全编码的好脚手架；社区活跃度 ★★★☆☆（3）。

变现与竞品：竞品是 Semgrep、Bandit、gosec 等静态扫描器。技能的差异化是"带解释的陪练"而非冷冰冰规则号。它很难独立变现，但作为训练营的"安全编码 101"开场（2 课时）非常合适——学员改完一轮，再看 Semgrep 报告就不会两眼一抹黑。

4. security-review —— 流水线里那道真正的闸门

来源与用法：这是把 Anthropic 官方 claude-code-security-review GitHub Action 的能力下沉到本地命令的内置技能。它只审"差异"（diff），按低/中/高/最高四档精力投入扫描，支持 --comment 把发现贴成行内 PR 评论，支持 --fix 直接应用到工作区。

核心演示：开发者推一个改了支付回调的 PR，CI 自动跑 security-review --comment，几分钟后 PR 上出现"此处金额来自客户端未校验"的行内评论，附 CWE 编号与修复示例。开发者在评论里 security-review --fix 即可拿到补丁。

五维评分：功能完整度 ★★★★☆（4）——差异级聚焦、误报可控；上手难度 ★★★★★（5）——一条命令；变现潜力 ★★★☆☆（3）——内置难收费，但 Action 形态可托管；训练营适用性 ★★★★☆（4）；社区活跃度 ★★★★★（5）——官方背书，生态最热。

变现与竞品：竞品是 GitHub Advanced Security、Snyk Code、Codacy。技能的卖点是"深上下文、低误报"，timonweb 的横评也指出深度上下文是其压倒其他四款同类技能的关键。商业化方向是把 --comment 做成企业自建的安全门禁 SaaS，按仓库数收费。训练营里它最适合演示"如何在 PR 里与 AI 安全审查协作"的 6 课时实战。

5. gh-fix-ci —— 让安全红线不再卡死流水线

来源与用法：当 CI 因测试失败、lint 报错或安全扫描红灯而中断时，gh-fix-ci 拉取失败日志，定位根因，生成修复提交。它是把"门禁拦下来"和"门禁通过"之间那段手动返工自动化的桥梁。

核心演示：CI 报 pip-audit 发现依赖 CVE，技能读取报错、确认受影响版本、提交 requirements.txt 升级并重跑，全流程无人值守。它和 security-review 形成天然搭档：一个负责发现，一个负责修复。

五维评分：功能完整度 ★★★★☆（4）；上手难度 ★★★★★（5）；变现潜力 ★★★☆☆（3）——属于 DevX 增值；训练营适用性 ★★★☆☆（3）——偏工程经验；社区活跃度 ★★★★☆（4）——需求高频。

变现与竞品：对手是 Trunk、Mend Renovate 等自动修复工具，但它们偏依赖升级。技能胜在读懂任意 CI 日志。商业化可捆绑进"AI 修复工位"订阅。训练营里适合作为 2 课时的"CI 自愈"演示，展示 AI 如何把人从抄报错里解放出来。

6. sentry —— 把防线延伸到运行时

来源与用法：对接 Sentry 错误监控平台，在异常上报后自动归因，聚合堆栈、release、用户上下文，并定位到具体提交与代码行。它让"安全门禁"从上线前延续到上线后。

核心演示：生产环境抛 TypeError，技能拉取事件、关联最近部署、指出是哪次提交引入，并草拟回滚或热修方案。配合 security-review，形成"部署前扫、部署后盯"的闭环。

五维评分：功能完整度 ★★★★☆（4）；上手难度 ★★★★☆（4）——需配置 DSN 与项目；变现潜力 ★★★☆☆（3）——本质是 Sentry 的智能外壳；训练营适用性 ★★★☆☆（3）；社区活跃度 ★★★★★（5）——Sentry 用户基数庞大。

变现与竞品：直接竞品是 Sentry 自家的 AI、Rollbar。技能差异化在"与 Claude 代码上下文打通"。独立收费难，更适合作为企业 AI 运维套件的一个模块。训练营里作为"可观测闭环"的收尾演示，与前序可观测评测形成呼应但不重复——本次只取其安全归因切片。

技能生态分类思维导图

mindmap
  root((代码安全门禁))
    风险面测绘
      security-ownership-map
        巴士因子
        敏感代码归属
        CODEOWNERS校验
    设计期
      security-threat-model
        STRIDE
        信任边界
        滥用路径
    编码期
      security-best-practices
        Python
        JS/TS
        Go
    准入期
      security-review
        diff聚焦
        行内评论
        自动修复
    修复期
      gh-fix-ci
        日志归因
        补丁生成
        流水线自愈
    运行期
      sentry
        异常归因
        回滚建议
        闭环追踪

安全门禁流水线：六个技能如何咬合成一条线

flowchart LR
    A[security-ownership-map<br/>测绘风险面] --> B[security-threat-model<br/>设计威胁模型]
    B --> C[security-best-practices<br/>语言级规约]
    C --> D[security-review<br/>差异级门禁]
    D -->|红灯| E[gh-fix-ci<br/>自动修复]
    E --> D
    D -->|绿灯| F[sentry<br/>运行时闭环]
    F -.异常归因.-> D

这条链路的精髓在于"测绘—建模—编码—门禁—修复—监控"的闭环：上线前由 ownership-map 圈定最危险模块、threat-model 设计防御、best-practices 约束写法、security-review 守住 diff、gh-fix-ci 兜底修复；上线后 sentry 把运行时异常回喂给 review，让下次门禁更聪明。任何一环缺失，安全体系都会出现"断头路"。

推荐排行榜

综合实力榜 1. security-ownership-map（4.3）——唯一兼具独家数据维度与变现空间 2. security-review（4.0）——官方背书、流水线刚需 3. security-threat-model（3.9）——方法论厚度第一

变现潜力榜 1. security-ownership-map —— 可做 CTO 级知识风险 SaaS 2. security-threat-model —— 轻咨询 TMaaS 3. security-review —— 托管式门禁服务

训练营教学榜 1. security-threat-model —— AppSec 全流程活教材 2. security-ownership-map —— 代码社会学最佳入门 3. security-best-practices —— 安全编码 101 脚手架

即装即用榜 1. security-review —— 一条命令，立等可见 2. gh-fix-ci —— 解决最高频的 CI 卡顿 3. security-best-practices —— 零配置三语 linter

社区热度榜 1. security-review —— Anthropic 官方 Action，生态最旺 2. sentry —— 巨大用户基数 3. gh-fix-ci —— 高频刚需驱动讨论

横向结论与选购建议

若团队预算只装三件套，首选 security-ownership-map（告诉你哪里最脆）、security-review（守住每次提交）、gh-fix-ci（保证门禁不卡死流水线）——这三者已构成可运行的最小安全门禁闭环。若再有余力，security-threat-model 提升设计期深度，sentry 把闭环延伸到运行时，security-best-practices 则留给新人的安全编码启蒙。值得注意的是，这套技能的价值不在单点强弱，而在能否被串进同一条 CI 流水线：security-ownership-map 的输出可作为 security-threat-model 的输入边界，security-review 的红灯直接触发 gh-fix-ci，sentry 的归因反哺下一轮审查。把孤立技能织成流水线，才是这一赛道真正的护城河，也是它区别于前几轮"部署""可观测""自治长跑"评测的核心增量。

参考来源

1. Using LLMs to Secure Source Code — Anthropic — 官方关于用 Claude 构建威胁模型、发现并修复漏洞的方法论，是威胁建模类技能的理论基础
2. claude-code-security-review — GitHub — Anthropic 官方 AI 安全审查 GitHub Action，security-review 技能的工程蓝本
3. I Checked 5 Security Skills for Claude Code — timonweb — 安全技能横评，指出深度上下文是降低误报的关键
4. ownermap: Git Code Ownership & Bus Factor Analyzer — GitHub — 零依赖的归属与巴士因子分析工具，security-ownership-map 的对标
5. Top 9 Claude Skills for Cybersecurity — Snyk — 网络安全类 Claude 技能全景，覆盖 OWASP 合规与漏洞扫描方向

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。