在"失败即自愈"解决 CI 修复、"一令即上线"吃透托管部署之后，开发工作流自动化的下一个真空地带是质量与安全的左移审查——在 PR 合并之前，把正确性缺陷、可维护性债务、安全漏洞、威胁面与所有权盲区一次性拦在门内。本期横评聚焦七款围绕"审"字展开的引擎：/code-review、/simplify、/security-review、security-best-practices、security-threat-model、security-ownership-map、/verify。它们共同构成一条"正确性→质量→安全→威胁→责任→验证"的左移链路，是当前 Skills 生态中内聚度最高、与 CI/CD 集成最深的子集。
七款引擎可分为三组：官方门禁命令组（/code-review、/simplify、/verify）开箱即用、原生支持 --comment/--fix 集成 PR 流；官方安全审查组（/security-review 及其 GitHub Action 版）定位 OWASP 漏洞扫描；社区安全治理组（security-best-practices、security-threat-model、security-ownership-map）把"审查"从单文件升级到仓库级拓扑与威胁建模。核心结论是：左移链路的真正价值不在单兵，而在编排——/code-review 找 bug、/simplify 清债、/security-review 扫洞、security-* 画面、/verify 验真，五环联动才是护栏。
| 引擎 | 出身 | 定位 | 输出形态 | CI/CD 集成 | 上手 | 综合分 |
|---|---|---|---|---|---|---|
/code-review |
官方命令 | 正确性 bug + 复用/效率 | 行级发现列表 | --comment/--fix 原生 |
★★★★★ | 9.2 |
/simplify |
官方内置 | 三代理质量清理 | 直接改写工作树 | 工作树后接 CI | ★★★★★ | 8.8 |
/security-review |
官方命令 + Action | OWASP 漏洞扫描 | 行级安全评论 | GitHub Action 原生 | ★★★★☆ | 9.0 |
security-best-practices |
社区 skill | 语言/框架最佳实践 | 改进建议 | 手动接入 | ★★★☆☆ | 7.6 |
security-threat-model |
社区 skill | 仓库级威胁建模 | Markdown 威胁模型 | 文档产物 | ★★★☆☆ | 7.9 |
security-ownership-map |
社区 skill | 安全所有权/bus factor | CSV/JSON 拓扑 | 可视化导入 | ★★★★☆ | 7.4 |
/verify |
官方命令 | 变更行为验证 | 运行态观察 | 配合 /run |
★★★★☆ | 8.3 |
/code-review — 官方正确性审查门禁出身 Anthropic 官方命令，安装零成本，任何 Claude Code 会话直接 /code-review 触发。核心能力是对当前 diff 做正确性 bug + 复用/简化/效率清理的多维审查，并支持 low/medium/high→max 四档努力度调节：低中档只给少量高置信度发现，高档扩展覆盖面、容忍不确定结论。真正的杀手锏是 --comment（把发现作为行内 PR 评论发布）与 --fix（审查后直接把发现应用到工作树）两个开关，使其天然成为 PR 流水线的门禁节点。
功能完整度★★★★★、上手★★★★★、变现★★★★☆。它的训练价值在于"分档努力度"本身就是一套审查教学阶梯：让学员从低档"只报铁案"逐步过渡到高档"报合理怀疑"，体会工程审查中的置信度权衡。与 /security-review 相比，前者主正确性、后者主安全，两者互补不重叠；与 /simplify 相比，它"也找 bug"，而 /simplify 明确声明"不找 bug"。训练营可安排两小时上手 + 四小时真实 PR 走查，定价空间在于"托管审查 SaaS"——把命令包成 GitHub App 按仓库收费。
/simplify — 三代理并行质量清理官方内置 skill，设计哲学极其克制：只做质量，不找 bug（明确引导用户"找 bug 请用 /code-review"）。机制上它派发三个并行审查代理，分别盯住三个维度——复用（reuse，能否调用既有代码而非新造）、质量（quality，命名/结构/可读性）、效率（efficiency，含 altitude 层次清理）——随后直接把修复应用到代码。这种"多代理分工 + 直接落地"的模式，把传统的"建议清单"升级为"自动重构"。
功能完整度★★★★☆、上手★★★★★、变现★★★☆☆。上手几乎为零，一句话触发；学习曲线平缓，适合作为训练营第一课展示"AI 代理如何协作"。变现路径偏弱，因为它更像 Claude Code 自身能力的封装而非独立产品，但其"三代理并行审查"架构是绝佳的教学范本——可以拆解成"并发审查模式"专题课，讲清楚为何把审查拆成独立视角比单代理全检更准。社区活跃度高，2026 年 4 月以来已有大量博客拆解其三代理机制。
/security-review — 官方 OWASP 安全扫描这是本期"变现潜力"最高的一款。它以 Claude Code 内置命令 /security-review 形态存在，同时 Anthropic 在 GitHub 开源了 claude-code-security-review 这一 AI 安全审查 GitHub Action，能把代码变更的安全分析嵌入 CI 流水线。覆盖范围对齐 OWASP Top 10：注入漏洞、密钥/凭证泄露、不安全反序列化、访问控制缺陷等。社区资料证实它"内置多代理系统"做代码审查，意味着安全发现经过多视角交叉而非单点判断，误报率显著低于传统 SAST。
功能完整度★★★★★、上手★★★★☆、变现★★★★★。GitHub Action 形态使其天然具备商业化外壳：按仓库/按 PR/按发现计费皆可，对标 Snyk、GitHub Advanced Security 的入门档。训练营场景下，它是最直接的"安全左移"教学载体——能用真实 PR 演示"一个 hardcoded token 如何被行级评论拦下"。与 security-best-practices 的区别在于：/security-review 是漏洞猎手（runtime 缺陷），后者是规范守门（编码约定）。两者搭配可形成"漏洞 + 规范"双门禁。
security-best-practices — 语言/框架安全规范守门社区 skill，定位与前三者不同：它不做漏洞扫描，而是做语言与框架特定的安全最佳实践审查并给出改进建议。当前显式支持 python、javascript/typescript、go 三大生态，覆盖各自的安全惯用法（如 Python 的 subprocess 注入面、TS 的 any 滥用、Go 的 goroutine 数据竞争）。触发被严格限定为"用户明确要求安全最佳实践指导/安全审查报告/secure-by-default 编码帮助"，避免在普通 code review 中误触发。
功能完整度★★★★☆、上手★★★☆☆、变现★★★☆☆。学习曲线略陡——它要求使用者对目标语言的安全面有基础认知，否则建议难以落地。训练营价值在于"按语言分诊"的安全规范教学，可做成 Python/TS/Go 三套独立微课。短板是覆盖语言有限（无 Rust/Java/C#），且产出是"建议"而非"修复"，闭环弱于 /code-review --fix。建议把它定位为 /security-review 的"规范补充层"，在漏洞扫描之后再过一遍编码约定。
security-threat-model — 仓库级威胁建模把"审"从单文件提升到整个仓库的层面。它做的是 Repository-grounded（仓库落地）的威胁建模：枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，最终写一份简洁的 Markdown 威胁模型。这本质上是把 STRIDE/LINDDUN 这类方法论用 LLM 落到具体代码库上，产物可直接进入架构评审与合规文档。
功能完整度★★★★☆、上手★★★☆☆、变现★★★★☆。上手需要威胁建模基础，否则容易产出泛泛而谈的模板；但一旦掌握，其"信任边界 + 滥用路径"的产物对甲方安全评审极有价值。变现空间在于"一键威胁建模报告"——合规、等保、渗透前置调研都能用，按报告计费合理。训练营可设为进阶课（需先过 /security-review 基础），教学时长 6–8 小时，重点教"如何让 LLM 不要脱离仓库空谈"。它与 security-ownership-map 是天然搭档：一个画"威胁面"，一个画"责任面"。
security-ownership-map — 安全所有权与 bus factor 拓扑本期最"反直觉"也最被低估的一款。它分析 git 历史，构建人员到文件的安全所有权拓扑，计算 bus factor（关键人风险）、敏感代码所有权集中度，并导出 CSV/JSON 供图数据库与可视化使用。触发限定为"用户明确想做基于 git 历史的安全所有权/bus factor 分析"——例如孤立的敏感代码、安全维护者画像、CODEOWNERS 现实校验、敏感热点、所有权聚类。
功能完整度★★★★☆、上手★★★★☆、变现★★★☆☆。上手友好（git 历史是现成数据），产物可导入 Neo4j/Gephi 做可视化，对管理者极有冲击力。训练营场景下它是"安全治理可视化"的最佳教具，能直观演示"全公司加密模块只有一个人会改"这类隐藏风险。短板是它偏治理洞察而非可执行修复，闭环依赖人工后续动作。变现上适合做成"年度安全健康度报告"订阅，对标 GitClear、LinearB 的治理视角。与 CODEOWNERS 文件相比，它揭示的是"事实上的所有权"而非"声明上的所有权"，这是它的不可替代价值。
/verify — 变更行为验证闭环官方命令，补上左移链路的最后一环：验证代码变更是否真正生效。它通过运行应用并观察行为，确认修复确实起作用、功能确实可用、本地变更在推送前已验证。常与 /run（启动并驱动项目 app）配合——/run 负责"让它跑起来"，/verify 负责"证明它跑对了"。
功能完整度★★★★☆、上手★★★★☆、变现★★★☆☆。上手门槛在于它依赖项目能被启动（需正确的 run 入口探测），但一旦跑通，它把"测试通过 ≠ 行为正确"的灰色地带变成可观察证据。训练营价值在于教学"验证思维"：很多 AI 生成的代码能过单测却行为错误，/verify 是最后一道人证替代。变现可嵌入"AI 代码可信度"服务——给每条 AI 修复附上运行态验证视频/日志。短板是适配项目类型有限（CLI/Server/TUI/Electron/浏览器驱动），冷启动需配置。建议把它作为整个左移链路的收口：审完、改完、跑过、验真，四步闭环才算合并。
mindmap
root((质量左移审查生态))
官方门禁命令组
/code-review 正确性bug与清理
--comment PR行内评论
--fix 工作树修复
四档努力度 low/medium/high/max
/simplify 三代理质量重构
reuse 复用清理
quality 质量清理
efficiency 效率清理
/verify 行为验证闭环
运行应用观察行为
配合/run启动
官方安全审查组
/security-review OWASP扫描
内置多代理系统
密钥泄露检测
GitHub Action形态
CI流水线嵌入
行级安全评论
社区安全治理组
security-best-practices
Python安全惯用法
TS/JS安全惯用法
Go安全惯用法
security-threat-model
信任边界枚举
滥用路径分析
Markdown威胁模型
security-ownership-map
人员-文件拓扑
bus factor风险
CSV/JSON可视化导出
编排模式
分档置信度审查
多代理并行视角
仓库落地而非空谈
事实所有权校验
运行态验证收口
综合实力榜（开箱可用 × 集成深度 × 误报控制）
1. /security-review（9.0）— 官方 + Action + 多代理，安全门禁天花板
2. /code-review（9.2）— 正确性门禁标配，分档机制成熟
3. /simplify（8.8）— 质量清理最快路径，三代理架构标杆
4. /verify（8.3）— 链路收口不可缺，行为证据提供者
5. security-threat-model（7.9）— 威胁面独家能力
6. security-best-practices（7.6）— 规范补充层
7. security-ownership-map（7.4）— 治理洞察独家
变现潜力榜（产品化外壳 × 计费清晰 × 对标空间）
1. /security-review — GitHub Action 天然 SaaS，对标 Snyk 入门档
2. /code-review — 托管审查 App，按仓库计费
3. security-threat-model — 合规/等保报告订阅
4. security-ownership-map — 年度安全健康度报告
5. /verify — AI 代码可信度验证服务
6. /simplify — 更偏能力封装，独立定价弱
7. security-best-practices — 建议型产物，闭环弱
训练营适用榜（教学阶梯 × 范本价值 × 课时弹性）
1. /simplify — 三代理协作最佳教学范本，2 小时入门
2. /code-review — 分档置信度审查教学阶梯
3. /security-review — 安全左移真实 PR 演示
4. security-ownership-map — 治理可视化冲击力强
5. /verify — 验证思维收口课
6. security-threat-model — 进阶需 STRIDE 基础
7. security-best-practices — 按语言分诊微课
社区活跃度榜（拆解文章 × 二次创作 × 更新频率）
1. /simplify — 2026 年 4 月起大量三代理机制拆解
2. /security-review — Gecko、HowDoIUseAI 等多站长文指南
3. /code-review — explainx、computingforgeeks 速查表覆盖
4. security-ownership-map — 小众但垂直社区关注
5. security-threat-model — 安全圈讨论为主
6. /verify — 随 Claude Code 版本演进
7. security-best-practices — 讨论集中在触发准确性
单点最强是 /security-review，但 ROI 最高的是五环编排：PR 触发后先 /code-review --comment 找正确性铁案，再 /simplify 清质量债，接着 /security-review 扫 OWASP 漏洞，随后 security-threat-model 定期跑全仓威胁面，security-ownership-map 季度跑责任拓扑，最终 /verify 在合并前做行为验真。这套链路的精髓在于分档置信度 + 多代理视角 + 仓库落地 + 运行态证据四原则——它把传统"一把梭"的代码审查拆成可追溯、可分诊、可计费的工业流水线，这正是 2026 年工作流自动化在"审"这一环的真正前沿。
/code-review 命令与 --comment/--fix/努力度档位说明/simplify 三代理并行审查机制（reuse/quality/efficiency）拆解/security-review 多代理系统与 OWASP 覆盖面实战指南/simplify 与 /batch 配合下的批量审查与迁移编排[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。