本期为第三轮评测，聚焦工作流自动化赛道中尚未被覆盖的"安全门禁"分支——即在 CI/CD 流水线里充当安全闸、在部署前做防线、在监控侧闭环的代码级安全技能簇。过去数轮已把部署、版本发布、可观测、自治长跑逐一拆解，而真正决定"上线那一刻是否敢按"的安全门禁体系，至今仍是空白。我们从当前生态中拣选六个互相咬合的技能：`security-ownership-map`（风险面测绘）、`security-threat-model`（威胁建模）、`security-best-practices`（语言级安全规约）、`security-review`（差异级安全审查）、`gh-fix-ci`（红线修复）与 `sentry`（运行时闭环），按功能完整度 25%、上手难度 20%、变现潜力 25%、训练营适用性 15%、社区活跃度 15% 五维打分，回答一个问题：哪些技能值得装进生产流水线，哪些又能改造成付费产品。 ## 评测对比表 | 技能 | 核心定位 | 触发方式 | 输出形态 | 上手 | 变现 | 综合分 | |------|---------|---------|---------|------|------|--------| | security-ownership-map | 代码归属与巴士因子测绘 | 显式请求 | CSV/JSON + 拓扑图 | ★★★★☆ | ★★★★☆ | 4.3 | | security-threat-model | 仓库级威胁建模(STRIDE) | 显式请求 | Markdown 威胁模型 | ★★★☆☆ | ★★★★☆ | 3.9 | | security-best-practices | 语言级安全规约审查 | 显式请求 | 改进建议清单 | ★★★★★ | ★★★☆☆ | 3.6 | | security-review | 差异级安全门禁 | 命令/CI | 行内评论/自动修复 | ★★★★★ | ★★★☆☆ | 4.0 | | gh-fix-ci | 流水线红线自动修复 | CI 失败 | 提交修复补丁 | ★★★★★ | ★★★☆☆ | 3.7 | | sentry | 运行时异常闭环 | 错误上报 | 归因 + 复现上下文 | ★★★★☆ | ★★★☆☆ | 3.7 | ## 逐个深度评测 ### 1. security-ownership-map —— 把"谁懂这块代码"做成风险指标 **来源与用法**：该技能源于社区对 `ownermap`、`busfactor` 等 git 归属分析工具的工程化封装。它分析 git 历史，构建"人—文件"安全归属拓扑，计算巴士因子（bus factor / truck factor）与敏感代码归属集中度，并导出 CSV/JSON 供图数据库或可视化工具消费。调用方式通常是显式提问"做一次安全归属/巴士因子分析"。 **核心演示**：在一个 50 万行的单体仓库上，它能指出哪些鉴权、密钥处理、支付逻辑只有 1 名贡献者实质掌握——这正是"中了彩票就瘫痪"的单点风险。技能会区分 CODEOWNERS 文件声明归属与 git 历史真实归属之间的落差，这是它区别于普通贡献者统计的关键。 **五维评分**：功能完整度 ★★★★☆（4）——可直接导出结构化数据；上手难度 ★★★★☆（4）——纯 git 驱动，无需额外依赖；变现潜力 ★★★★☆（4）——对标 Calyntro 这类面向 CTO 的知识风险仪表盘，可包装成"工程健康度 SaaS"；训练营适用性 ★★★★☆（4）——极佳的代码社会学教材；社区活跃度 ★★★☆☆（3）——细分但持续有讨论。 **变现与竞品**：竞争对手是 `git-fame`、`git-quick-stats` 等统计工具，但它们只算数量不算风险。技能的商业化路径是"每周风险简报订阅"：扫描企业所有仓库，输出巴士因子恶化告警与继任者推荐。训练营里它最适合作为 4 课时"开源治理"模块的开场，让学员亲手算出自己项目的彩票数。 ### 2. security-threat-model —— 让威胁建模回到代码本身 **来源与用法**：受 Anthropic 官方《Using LLMs to Secure Source Code》方法论启发，社区出现多个变体（如 Kraxi 的 8 阶段 code-first 威胁建模技能）。本技能要求"显式请求威胁建模"，强调仓库落地：枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，最终写出一篇简洁的 Markdown 威胁模型。 **核心演示**：给定一个带 OAuth 回调的微服务，它不会泛泛而谈"注意 SQL 注入"，而是沿着真实代码路径指出 `redirect_uri` 校验缺失这一具体滥用路径，并标出对应文件行号。这种"代码优先"是它与传统白板威胁建模的分水岭。 **五维评分**：功能完整度 ★★★★☆（4）——产出可直接归档；上手难度 ★★★☆☆（3）——需要读者具备安全词汇；变现潜力 ★★★★☆（4）——威胁建模即服务（TMaaS）是甲方安全团队刚需；训练营适用性 ★★★★★（5）——讲解 STRIDE/DREAD 的活教材；社区活跃度 ★★★☆☆（3）。 **变现与竞品**：对手是 IriusRisk、ThreatModeler 等重型平台，定价高昂且偏流程。技能的优势是轻、快、贴代码。商业化可走"每次架构评审 200 元、24 小时交付 Markdown 威胁模型"的轻咨询模式。训练营中作为 8 课时的 AppSec 核心实验，让学员对自己的毕业项目建模再互评。 ### 3. security-best-practices —— 安全规约的语言级 linter **来源与用法**：这是一个"窄而深"的技能，仅对 Python、JavaScript/TypeScript、Go 三类语言生效，且触发严格——只有用户明确要求安全最佳实践、安全评审或安全默认编码时才启动，绝不抢一般代码审查的活。 **核心演示**：在 Python 项目里，它会逐项检查是否使用了参数化查询、密码是否走 `hashlib.pbkdf2`/`argon2`、`subprocess` 是否带 `shell=True`。在 Go 里关注 `crypto/rand` 而非 `math/rand` 生成令牌。产出是一份"违反哪条、为什么、怎么改"的清单。 **五维评分**：功能完整度 ★★★☆☆（3）——语言覆盖窄是其刻意取舍；上手难度 ★★★★★（5）——门槛最低；变现潜力 ★★★☆☆（3）——单独收费难，更适合捆绑；训练营适用性 ★★★★☆（4）——按语言教安全编码的好脚手架；社区活跃度 ★★★☆☆（3）。 **变现与竞品**：竞品是 Semgrep、Bandit、gosec 等静态扫描器。技能的差异化是"带解释的陪练"而非冷冰冰规则号。它很难独立变现，但作为训练营的"安全编码 101"开场（2 课时）非常合适——学员改完一轮，再看 Semgrep 报告就不会两眼一抹黑。 ### 4. security-review —— 流水线里那道真正的闸门 **来源与用法**：这是把 Anthropic 官方 `claude-code-security-review` GitHub Action 的能力下沉到本地命令的内置技能。它只审"差异"（diff），按低/中/高/最高四档精力投入扫描，支持 `--comment` 把发现贴成行内 PR 评论，支持 `--fix` 直接应用到工作区。 **核心演示**：开发者推一个改了支付回调的 PR，CI 自动跑 `security-review --comment`，几分钟后 PR 上出现"此处金额来自客户端未校验"的行内评论，附 CWE 编号与修复示例。开发者在评论里 `security-review --fix` 即可拿到补丁。 **五维评分**：功能完整度 ★★★★☆（4）——差异级聚焦、误报可控；上手难度 ★★★★★（5）——一条命令；变现潜力 ★★★☆☆（3）——内置难收费，但 Action 形态可托管；训练营适用性 ★★★★☆（4）；社区活跃度 ★★★★★（5）——官方背书，生态最热。 **变现与竞品**：竞品是 GitHub Advanced Security、Snyk Code、Codacy。技能的卖点是"深上下文、低误报"，timonweb 的横评也指出深度上下文是其压倒其他四款同类技能的关键。商业化方向是把 `--comment` 做成企业自建的安全门禁 SaaS，按仓库数收费。训练营里它最适合演示"如何在 PR 里与 AI 安全审查协作"的 6 课时实战。 ### 5. gh-fix-ci —— 让安全红线不再卡死流水线 **来源与用法**：当 CI 因测试失败、lint 报错或安全扫描红灯而中断时，`gh-fix-ci` 拉取失败日志，定位根因，生成修复提交。它是把"门禁拦下来"和"门禁通过"之间那段手动返工自动化的桥梁。 **核心演示**：CI 报 `pip-audit` 发现依赖 CVE，技能读取报错、确认受影响版本、提交 `requirements.txt` 升级并重跑，全流程无人值守。它和 security-review 形成天然搭档：一个负责发现，一个负责修复。 **五维评分**：功能完整度 ★★★★☆（4）；上手难度 ★★★★★（5）；变现潜力 ★★★☆☆（3）——属于 DevX 增值；训练营适用性 ★★★☆☆（3）——偏工程经验；社区活跃度 ★★★★☆（4）——需求高频。 **变现与竞品**：对手是 Trunk、Mend Renovate 等自动修复工具，但它们偏依赖升级。技能胜在读懂任意 CI 日志。商业化可捆绑进"AI 修复工位"订阅。训练营里适合作为 2 课时的"CI 自愈"演示，展示 AI 如何把人从抄报错里解放出来。 ### 6. sentry —— 把防线延伸到运行时 **来源与用法**：对接 Sentry 错误监控平台，在异常上报后自动归因，聚合堆栈、release、用户上下文，并定位到具体提交与代码行。它让"安全门禁"从上线前延续到上线后。 **核心演示**：生产环境抛 `TypeError`，技能拉取事件、关联最近部署、指出是哪次提交引入，并草拟回滚或热修方案。配合 security-review，形成"部署前扫、部署后盯"的闭环。 **五维评分**：功能完整度 ★★★★☆（4）；上手难度 ★★★★☆（4）——需配置 DSN 与项目；变现潜力 ★★★☆☆（3）——本质是 Sentry 的智能外壳；训练营适用性 ★★★☆☆（3）；社区活跃度 ★★★★★（5）——Sentry 用户基数庞大。 **变现与竞品**：直接竞品是 Sentry 自家的 AI、Rollbar。技能差异化在"与 Claude 代码上下文打通"。独立收费难，更适合作为企业 AI 运维套件的一个模块。训练营里作为"可观测闭环"的收尾演示，与前序可观测评测形成呼应但不重复——本次只取其安全归因切片。 ## 技能生态分类思维导图 ```mermaid mindmap root((代码安全门禁)) 风险面测绘 security-ownership-map 巴士因子 敏感代码归属 CODEOWNERS校验 设计期 security-threat-model STRIDE 信任边界 滥用路径 编码期 security-best-practices Python JS/TS Go 准入期 security-review diff聚焦 行内评论 自动修复 修复期 gh-fix-ci 日志归因 补丁生成 流水线自愈 运行期 sentry 异常归因 回滚建议 闭环追踪 ``` ## 安全门禁流水线：六个技能如何咬合成一条线 ```mermaid flowchart LR A[security-ownership-map
测绘风险面] --> B[security-threat-model
设计威胁模型] B --> C[security-best-practices
语言级规约] C --> D[security-review
差异级门禁] D -->|红灯| E[gh-fix-ci
自动修复] E --> D D -->|绿灯| F[sentry
运行时闭环] F -.异常归因.-> D ``` 这条链路的精髓在于"测绘—建模—编码—门禁—修复—监控"的闭环：上线前由 ownership-map 圈定最危险模块、threat-model 设计防御、best-practices 约束写法、security-review 守住 diff、gh-fix-ci 兜底修复；上线后 sentry 把运行时异常回喂给 review，让下次门禁更聪明。任何一环缺失，安全体系都会出现"断头路"。 ## 推荐排行榜 **综合实力榜** 1. security-ownership-map（4.3）——唯一兼具独家数据维度与变现空间 2. security-review（4.0）——官方背书、流水线刚需 3. security-threat-model（3.9）——方法论厚度第一 **变现潜力榜** 1. security-ownership-map —— 可做 CTO 级知识风险 SaaS 2. security-threat-model —— 轻咨询 TMaaS 3. security-review —— 托管式门禁服务 **训练营教学榜** 1. security-threat-model —— AppSec 全流程活教材 2. security-ownership-map —— 代码社会学最佳入门 3. security-best-practices —— 安全编码 101 脚手架 **即装即用榜** 1. security-review —— 一条命令，立等可见 2. gh-fix-ci —— 解决最高频的 CI 卡顿 3. security-best-practices —— 零配置三语 linter **社区热度榜** 1. security-review —— Anthropic 官方 Action，生态最旺 2. sentry —— 巨大用户基数 3. gh-fix-ci —— 高频刚需驱动讨论 ## 横向结论与选购建议 若团队预算只装三件套，首选 `security-ownership-map`（告诉你哪里最脆）、`security-review`（守住每次提交）、`gh-fix-ci`（保证门禁不卡死流水线）——这三者已构成可运行的最小安全门禁闭环。若再有余力，`security-threat-model` 提升设计期深度，`sentry` 把闭环延伸到运行时，`security-best-practices` 则留给新人的安全编码启蒙。值得注意的是，这套技能的价值不在单点强弱，而在能否被串进同一条 CI 流水线：`security-ownership-map` 的输出可作为 `security-threat-model` 的输入边界，`security-review` 的红灯直接触发 `gh-fix-ci`，`sentry` 的归因反哺下一轮审查。把孤立技能织成流水线，才是这一赛道真正的护城河，也是它区别于前几轮"部署""可观测""自治长跑"评测的核心增量。 ## 参考来源 1. [Using LLMs to Secure Source Code — Anthropic](https://claude.com/blog/using-llms-to-secure-source-code) — 官方关于用 Claude 构建威胁模型、发现并修复漏洞的方法论，是威胁建模类技能的理论基础 2. [claude-code-security-review — GitHub](https://github.com/anthropics/claude-code-security-review) — Anthropic 官方 AI 安全审查 GitHub Action，security-review 技能的工程蓝本 3. [I Checked 5 Security Skills for Claude Code — timonweb](https://timonweb.com/ai/i-checked-5-security-skills-for-claude-code-only-one-is-worth-installing/) — 安全技能横评，指出深度上下文是降低误报的关键 4. [ownermap: Git Code Ownership & Bus Factor Analyzer — GitHub](https://github.com/kriskimmerle/ownermap) — 零依赖的归属与巴士因子分析工具，security-ownership-map 的对标 5. [Top 9 Claude Skills for Cybersecurity — Snyk](https://snyk.io/articles/top-claude-skills-cybersecurity-hacking-vulnerability-scanning/) — 网络安全类 Claude 技能全景，覆盖 OWASP 合规与漏洞扫描方向 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。