# 扫描即放行：安全流水线引擎六维实测 ## 概述 本期聚焦工作流自动化中最被低估却最具变现价值的细分赛道——**安全流水线（Security Pipeline）**。前几轮已覆盖部署、发布准入、CI 自愈与运维观测，但当代码由 Agent 大规模生成、供应链投毒、提示注入与密钥泄露成为常态时，"扫描完才放行"才是流水线真正的最后一道闸。本次从本地可装的 `security-review`、`security-best-practices`、`security-threat-model`、`security-ownership-map`、`code-review` 五款官方/准官方引擎，外加生态代表 **Masriyan 网安技能包（15 合 1）** 入手，围绕功能完整度、上手难度、变现潜力、训练营适用性、社区活跃度五维打分。结论先行：**威胁建模与所有权治理是两座被低估的金矿**，纯扫描类已高度商品化。 ## 评测总表 | 引擎 | 来源 | 功能完整度（25%） | 上手难度（20%） | 变现潜力（25%） | 训练营适用（15%） | 社区活跃（15%） | 加权 | |------|------|:--:|:--:|:--:|:--:|:--:|:--:| | security-review | Anthropic 官方 | ★★★★★ | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | 4.20 | | security-best-practices | 官方示例 | ★★★ | ★★★★ | ★★★ | ★★★★ | ★★★ | 3.30 | | security-threat-model | 社区精选 | ★★★★ | ★★★ | ★★★★★ | ★★★★★ | ★★★★ | 4.05 | | security-ownership-map | 社区精选 | ★★★★ | ★★ | ★★★★ | ★★★ | ★★★ | 3.35 | | code-review（对比项） | Anthropic 官方 | ★★★★★ | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | 4.20 | | Masriyan 网安技能包 | GitHub 开源 | ★★★★★ | ★★★ | ★★★★★ | ★★★★★ | ★★★★ | 4.30 | ## 安全技能生态思维导图 ```mermaid mindmap root((安全流水线引擎)) 漏洞扫描 Scan security-review 官方 agamm/claude-code-owasp Masriyan 扫描模块 威胁建模 Model security-threat-model STRIDE CSO Security Audit Kraxi code-first 合规与最佳实践 security-best-practices py/js/go OWASP Top 10 LLM 2025 Secure-LLM-Pipeline 治理与所有权 security-ownership-map 总线因子 CODEOWNERS 校验 安全运营 SOC AgentSecOps SecOpsAgentKit Threat Hunting + MCP 通用代码审查 code-review 正确性 simplify 质量收敛 ``` ## 逐个深度评测 ### 1. security-review（官方内置） **来源**：Anthropic 官方内置命令，对应 Claude 帮助中心《Automated Security Reviews in Claude Code》一文，2026 年又以 **security-guidance 插件** 形式扩展出 25+ 高危项检查。**安装**：开箱即用，直接 `/security-review` 或在 PR 流程中触发，无需额外配置。 **核心功能**：对当前 diff（而非全仓）做安全审查，识别注入、XSS、硬编码密钥、不安全反序列化等，并给出修复建议。它最大的优势是"贴着变更走"——只评审你这次改动，token 消耗低、误报少，天然适合挂在 pre-commit 或 PR 检查里。 **五维评分**：功能 ★★★★★（官方背书、持续更新）、上手 ★★★★★（零配置）、变现 ★★★（商品化严重，难单独收费）、训练营 ★★★★（适合做"安全门禁"演示课）、社区 ★★★★★（官方维护、文档齐全）。 **变现/训练营**：单独变现空间小，更适合作为"课程通关条件"——学员提交的 PR 必须先过 `security-review` 才能合并，把安全意识焊进肌肉记忆。与 Snyk、GitHub Advanced Security 相比，它的卖点是"零成本、贴 diff、中文友好"，但深度与规则库厚度不及专业商业产品。 ### 2. security-best-practices（语言定向最佳实践） **来源**：官方示例技能。**安装**：随 Skills 包分发，触发词需用户"显式请求安全最佳实践指导"。 **核心功能**：针对 **Python、JavaScript/TypeScript、Go** 三类语言做框架级安全最佳实践审查并提改进建议。它的设计哲学是"窄而深"——只覆盖三大主流后端语言，明确声明不处理通用代码审查或调试，避免与 `code-review` 抢戏。 **五维评分**：功能 ★★★（语言覆盖窄、不自动修复）、上手 ★★★★（限定语言反而降低心智负担）、变现 ★★★（可包装成"Python 安全代码助手"）、训练营 ★★★★（分语言教学极佳）、社区 ★★★（偏静态文档型，迭代慢）。 **变现/训练营**：变现亮点在于"垂直语言订阅"——把 Go 安全实践做成针对云原生团队的付费插件。训练营中，它是讲"语言陷阱"最好的教具：Python 的 pickle 反序列化、JS 的原型链污染、Go 的 goroutine 竞态，都能即查即讲。竞品 `agamm/claude-code-owasp` 覆盖面更广但颗粒度更粗。 ### 3. security-threat-model（仓库级威胁建模）⭐本期重点 **来源**：社区精选，对应 `security-threat-model` 技能（Claude Skills Hub、skillsplayground 均有收录），生态里还有 CSO Security Audit、Kraxi code-first 等同类。**安装**：本地 Skills 目录即可加载。 **核心功能**：以仓库为根，枚举**信任边界、资产、攻击者能力、滥用路径与缓解措施**，最终产出一份精炼的 Markdown 威胁模型报告。它本质上是把传统 STRIDE/DREAD 方法论"代码化"——不是凭空想象威胁，而是从真实代码的数据流、入口点反推攻击面。 **五维评分**：功能 ★★★★（方法论扎实、输出结构化）、上手 ★★★（需懂 STRIDE 等基础）、变现 ★★★★★（人工威胁建模单次报价 5 千–5 万，自动化空间巨大）、训练营 ★★★★★（AppSec 黄金教材）、社区 ★★★★（多个开源版本活跃）。 **变现/训练营**：**这是六款里变现天花板最高的**。企业威胁建模咨询是典型高客单、低标准化的服务，把它产品化为"一键生成 STRIDE 报告 + DREAD 评分 + 缓解清单"的 SaaS，可对标 IriusRisk、ThreatModeler。训练营里，它是从"写代码"跨越到"设计安全架构"的关键一跃，4 课时即可带学员完成一个真实模块的完整建模。 ### 4. security-ownership-map（安全所有权治理） **来源**：社区精选，定位非常独特。**安装**：本地 Skills 加载，依赖 git 历史与可选的图数据库做可视化。 **核心功能**：分析 git 仓库，构建**人—文件的安全所有权拓扑**，计算**总线因子（bus factor）**和**敏感代码所有权**，并导出 CSV/JSON 供图数据库或可视化工具使用。它回答的不是"代码有没有漏洞"，而是"这段敏感代码只掌握在一个人手里吗？这人离职会瘫痪哪个模块？"——典型的工程治理与供应链韧性视角。 **五维评分**：功能 ★★★★（视角稀缺、输出可对接）、上手 ★★（涉及图数据库与 git 统计）、变现 ★★★★（企业治理 SaaS 切入点）、训练营 ★★★（偏管理课，技术味淡）、社区 ★★★（小众但稳定）。 **变现/训练营**：变现路径是"工程健康度仪表盘"——结合 CODEOWNERS 真实性校验、敏感代码孤岛识别，卖给 CTO 与平台工程团队。训练营中它适合"技术管理"或"DevEx"方向的选修课，而非纯开发课。竞品几乎没有同类 Agent 技能，蓝海属性强。 ### 5. code-review（通用代码审查·对比项） **来源**：Anthropic 官方命令。**安装**：开箱即用，支持 `--comment`（贴 PR 内联评论）、`--fix`（直接改）、`low/medium/high/max` 四档强度。 **核心功能**：审查当前 diff 的**正确性 bug**与**复用/简化/效率**清理。它不是安全引擎，但放在本批次里做对比，能清楚界定"安全审查 vs 质量审查"的边界——`code-review` 抓逻辑错误与冗余，`security-review` 抓漏洞与密钥，两者在流水线里是互补而非替代。 **五维评分**：功能 ★★★★★、上手 ★★★★★、变现 ★★★、训练营 ★★★★、社区 ★★★★★。与 `anthroos/claude-code-review-skill`（280+ 检查、15 维度）相比，官方版更轻、更聚焦 diff；社区版更全、更适合做一次性深度审计。 **变现/训练营**：变现靠"打包"——把 code-review + security-review + simplify 组成"AI 代码门禁三件套"对外。训练营里它是讲"什么是好的 PR"的最佳抓手。 ### 6. Masriyan 网安技能包（15 合 1 生态代表） **来源**：GitHub 开源 `Masriyan/Claude-Code-CyberSecurity-Skill`，涵盖进攻性与防御性两大方向。**安装**：克隆到 `.claude/skills` 即可，可整体或按需启用。 **核心功能**：一个"全家桶"——把扫描、审计、OWASP 合规、YARA 规则、漏洞分析等 15 个子技能打包。对标 Snyk 盘点的"Top 9 网安技能"思路，但更成体系。它的价值不在单点深度，而在**覆盖广度与开箱即用的完整流水线**。 **五维评分**：功能 ★★★★★（广度碾压）、上手 ★★★（15 个技能需熟悉）、变现 ★★★★★（可整包做"红队/蓝队训练营"）、训练营 ★★★★★（实战靶场素材足）、社区 ★★★★（GitHub 活跃）。 **变现/训练营**：变现上，"安全技能全家桶"可做成两类产品——给企业的 DevSecOps 一键部署包，给个人的网安训练营实战课（结合 `AgentSecOps/SecOpsAgentKit` 的 shift-left 理念）。训练营适用性满分：进攻+防御双线，能支撑一个完整的 8 周网安入门营。 ## 推荐排行榜 **🥇 综合最佳（加权分）** 1. Masriyan 网安技能包（4.30）——广度与训练营双满 2. security-review / code-review（4.20 并列）——官方双门禁 3. security-threat-model（4.05）——变现潜力王 **💰 变现潜力榜** 1. security-threat-model（5.0）——威胁建模咨询自动化，高客单 2. Masriyan 网安技能包（5.0）——整包产品化空间大 3. security-ownership-map（4.0）——治理 SaaS 蓝海 **🎓 训练营适用榜** 1. security-threat-model（5.0）——AppSec 跨越式教学 2. Masriyan 网安技能包（5.0）——8 周网安营素材 3. security-best-practices（4.0）——分语言陷阱教学 **⚡ 上手最快榜** 1. security-review / code-review（5.0）——零配置贴 diff 2. security-best-practices（4.0）——限定语言降负担 3. security-threat-model（3.0）——需方法论基础 ## 流水线编排建议 把六款引擎串成一条"扫描即放行"的流水线，效果远胜单兵作战： ```mermaid flowchart LR A[Agent 生成代码] --> B[code-review 正确性] B --> C[security-review 漏洞] C --> D[security-best-practices 语言实践] D --> E{全过?} E -->|否| F[自动 --fix 或打回] E -->|是| G[合并发布] H[每周/每月] --> I[security-threat-model 建模] H --> J[security-ownership-map 治理] I --> K[更新威胁清单] J --> L[敏感代码孤岛告警] ``` 横向（PR 级）做即时门禁，纵向（周期级）做建模与治理——这正是 OWASP CI/CD Top 10 与 OWASP LLM Top 10 共同强调的"分层防御"。值得注意的是，当流水线本身由 AI Agent 驱动时，**间接提示注入**会成为新攻击面：恶意 PR 内容、构建日志都可能劫持审查 Agent。因此建议把 `security-review` 的输出与**规则型扫描器**（如 TruffleHog 找密钥、Semgrep 找模式）做交叉验证，Agent 负责"理解"，规则器负责"兜底"，两者不可互替。 ## 结论 六款引擎各有生态位：官方 `security-review`/`code-review` 是流水线标配的"两道闸门"，胜在零成本与贴 diff；`security-best-practices` 适合做语言定向的进阶训练；`security-threat-model` 与 `security-ownership-map` 则是两座尚未被充分开采的金矿——前者把高客单的威胁建模咨询产品化，后者切入了几乎无竞品的工程治理赛道。Masriyan 全家桶则证明：在网安领域，"打包广度"比"单点深度"更适合做成可付费的产品与训练营。对想在 2026 年变现的开发者而言，优先级应是 **威胁建模 > 所有权治理 > 语言实践包 > 纯扫描**——后者已是一片红海。 ## 参考来源 1. [Automated Security Reviews in Claude Code — Claude Help Center](https://support.claude.com/en/articles/11932705-automated-security-reviews-in-claude-code) — Anthropic 官方安全审查功能说明，对应内置 `security-review` 2. [OWASP Top 10 for Large Language Model Applications](https://owasp.org/www-project-top-10-for-large-language-model-applications/) — LLM 应用安全风险清单，威胁建模与扫描引擎的对标框架 3. [OWASP Top 10 CI/CD Security Risks](https://owasp.org/www-project-top-10-ci-cd-security-risks/) — 流水线分层防御与门禁设计的权威依据 4. [Top 9 Claude Skills for Cybersecurity, Hacking, and Vulnerability Scanning — Snyk](https://snyk.io/articles/top-claude-skills-cybersecurity-hacking-vulnerability-scanning/) — 网安技能生态横评， Masriyan 全家桶的对标参照 5. [Masriyan/Claude-Code-CyberSecurity-Skill — GitHub](https://github.com/Masriyan/Claude-Code-CyberSecurity-Skill) — 15 合 1 网安技能包开源仓库，本期生态代表 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。