# 审即护栏：质量左移引擎七测 ## 概述 在"失败即自愈"解决 CI 修复、"一令即上线"吃透托管部署之后，开发工作流自动化的下一个真空地带是**质量与安全的左移审查**——在 PR 合并之前，把正确性缺陷、可维护性债务、安全漏洞、威胁面与所有权盲区一次性拦在门内。本期横评聚焦七款围绕"审"字展开的引擎：`/code-review`、`/simplify`、`/security-review`、`security-best-practices`、`security-threat-model`、`security-ownership-map`、`/verify`。它们共同构成一条"正确性→质量→安全→威胁→责任→验证"的左移链路，是当前 Skills 生态中内聚度最高、与 CI/CD 集成最深的子集。 ## 评测范围与核心发现 七款引擎可分为三组：**官方门禁命令组**（`/code-review`、`/simplify`、`/verify`）开箱即用、原生支持 `--comment`/`--fix` 集成 PR 流；**官方安全审查组**（`/security-review` 及其 GitHub Action 版）定位 OWASP 漏洞扫描；**社区安全治理组**（`security-best-practices`、`security-threat-model`、`security-ownership-map`）把"审查"从单文件升级到仓库级拓扑与威胁建模。核心结论是：左移链路的真正价值不在单兵，而在**编排**——`/code-review` 找 bug、`/simplify` 清债、`/security-review` 扫洞、`security-*` 画面、`/verify` 验真，五环联动才是护栏。 ## 评测对比表 | 引擎 | 出身 | 定位 | 输出形态 | CI/CD 集成 | 上手 | 综合分 | |------|------|------|----------|-----------|------|--------| | `/code-review` | 官方命令 | 正确性 bug + 复用/效率 | 行级发现列表 | `--comment`/`--fix` 原生 | ★★★★★ | 9.2 | | `/simplify` | 官方内置 | 三代理质量清理 | 直接改写工作树 | 工作树后接 CI | ★★★★★ | 8.8 | | `/security-review` | 官方命令 + Action | OWASP 漏洞扫描 | 行级安全评论 | GitHub Action 原生 | ★★★★☆ | 9.0 | | `security-best-practices` | 社区 skill | 语言/框架最佳实践 | 改进建议 | 手动接入 | ★★★☆☆ | 7.6 | | `security-threat-model` | 社区 skill | 仓库级威胁建模 | Markdown 威胁模型 | 文档产物 | ★★★☆☆ | 7.9 | | `security-ownership-map` | 社区 skill | 安全所有权/bus factor | CSV/JSON 拓扑 | 可视化导入 | ★★★★☆ | 7.4 | | `/verify` | 官方命令 | 变更行为验证 | 运行态观察 | 配合 `/run` | ★★★★☆ | 8.3 | ## 逐个深度评测 ### 1. `/code-review` — 官方正确性审查门禁 出身 Anthropic 官方命令，安装零成本，任何 Claude Code 会话直接 `/code-review` 触发。核心能力是对当前 diff 做**正确性 bug + 复用/简化/效率清理**的多维审查，并支持 `low/medium/high→max` 四档努力度调节：低中档只给少量高置信度发现，高档扩展覆盖面、容忍不确定结论。真正的杀手锏是 `--comment`（把发现作为行内 PR 评论发布）与 `--fix`（审查后直接把发现应用到工作树）两个开关，使其天然成为 PR 流水线的门禁节点。 功能完整度★★★★★、上手★★★★★、变现★★★★☆。它的训练价值在于"分档努力度"本身就是一套审查教学阶梯：让学员从低档"只报铁案"逐步过渡到高档"报合理怀疑"，体会工程审查中的置信度权衡。与 `/security-review` 相比，前者主正确性、后者主安全，两者互补不重叠；与 `/simplify` 相比，它"也找 bug"，而 `/simplify` 明确声明"不找 bug"。训练营可安排两小时上手 + 四小时真实 PR 走查，定价空间在于"托管审查 SaaS"——把命令包成 GitHub App 按仓库收费。 ### 2. `/simplify` — 三代理并行质量清理 官方内置 skill，设计哲学极其克制：**只做质量，不找 bug**（明确引导用户"找 bug 请用 `/code-review`"）。机制上它派发**三个并行审查代理**，分别盯住三个维度——复用（reuse，能否调用既有代码而非新造）、质量（quality，命名/结构/可读性）、效率（efficiency，含 altitude 层次清理）——随后直接把修复应用到代码。这种"多代理分工 + 直接落地"的模式，把传统的"建议清单"升级为"自动重构"。 功能完整度★★★★☆、上手★★★★★、变现★★★☆☆。上手几乎为零，一句话触发；学习曲线平缓，适合作为训练营第一课展示"AI 代理如何协作"。变现路径偏弱，因为它更像 Claude Code 自身能力的封装而非独立产品，但其"三代理并行审查"架构是绝佳的教学范本——可以拆解成"并发审查模式"专题课，讲清楚为何把审查拆成独立视角比单代理全检更准。社区活跃度高，2026 年 4 月以来已有大量博客拆解其三代理机制。 ### 3. `/security-review` — 官方 OWASP 安全扫描 这是本期"变现潜力"最高的一款。它以 Claude Code 内置命令 `/security-review` 形态存在，同时 Anthropic 在 GitHub 开源了 `claude-code-security-review` 这一 **AI 安全审查 GitHub Action**，能把代码变更的安全分析嵌入 CI 流水线。覆盖范围对齐 OWASP Top 10：注入漏洞、密钥/凭证泄露、不安全反序列化、访问控制缺陷等。社区资料证实它"内置多代理系统"做代码审查，意味着安全发现经过多视角交叉而非单点判断，误报率显著低于传统 SAST。 功能完整度★★★★★、上手★★★★☆、变现★★★★★。GitHub Action 形态使其天然具备商业化外壳：按仓库/按 PR/按发现计费皆可，对标 Snyk、GitHub Advanced Security 的入门档。训练营场景下，它是最直接的"安全左移"教学载体——能用真实 PR 演示"一个 hardcoded token 如何被行级评论拦下"。与 `security-best-practices` 的区别在于：`/security-review` 是漏洞猎手（runtime 缺陷），后者是规范守门（编码约定）。两者搭配可形成"漏洞 + 规范"双门禁。 ### 4. `security-best-practices` — 语言/框架安全规范守门 社区 skill，定位与前三者不同：它不做漏洞扫描，而是做**语言与框架特定的安全最佳实践审查并给出改进建议**。当前显式支持 `python`、`javascript/typescript`、`go` 三大生态，覆盖各自的安全惯用法（如 Python 的 subprocess 注入面、TS 的 `any` 滥用、Go 的 goroutine 数据竞争）。触发被严格限定为"用户明确要求安全最佳实践指导/安全审查报告/secure-by-default 编码帮助"，避免在普通 code review 中误触发。 功能完整度★★★★☆、上手★★★☆☆、变现★★★☆☆。学习曲线略陡——它要求使用者对目标语言的安全面有基础认知，否则建议难以落地。训练营价值在于"按语言分诊"的安全规范教学，可做成 Python/TS/Go 三套独立微课。短板是覆盖语言有限（无 Rust/Java/C#），且产出是"建议"而非"修复"，闭环弱于 `/code-review --fix`。建议把它定位为 `/security-review` 的"规范补充层"，在漏洞扫描之后再过一遍编码约定。 ### 5. `security-threat-model` — 仓库级威胁建模 把"审"从单文件提升到**整个仓库**的层面。它做的是 Repository-grounded（仓库落地）的威胁建模：枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，最终写一份简洁的 Markdown 威胁模型。这本质上是把 STRIDE/LINDDUN 这类方法论用 LLM 落到具体代码库上，产物可直接进入架构评审与合规文档。 功能完整度★★★★☆、上手★★★☆☆、变现★★★★☆。上手需要威胁建模基础，否则容易产出泛泛而谈的模板；但一旦掌握，其"信任边界 + 滥用路径"的产物对甲方安全评审极有价值。变现空间在于"一键威胁建模报告"——合规、等保、渗透前置调研都能用，按报告计费合理。训练营可设为进阶课（需先过 `/security-review` 基础），教学时长 6–8 小时，重点教"如何让 LLM 不要脱离仓库空谈"。它与 `security-ownership-map` 是天然搭档：一个画"威胁面"，一个画"责任面"。 ### 6. `security-ownership-map` — 安全所有权与 bus factor 拓扑 本期最"反直觉"也最被低估的一款。它分析 git 历史，构建**人员到文件的安全所有权拓扑**，计算 bus factor（关键人风险）、敏感代码所有权集中度，并导出 CSV/JSON 供图数据库与可视化使用。触发限定为"用户明确想做基于 git 历史的安全所有权/bus factor 分析"——例如孤立的敏感代码、安全维护者画像、CODEOWNERS 现实校验、敏感热点、所有权聚类。 功能完整度★★★★☆、上手★★★★☆、变现★★★☆☆。上手友好（git 历史是现成数据），产物可导入 Neo4j/Gephi 做可视化，对管理者极有冲击力。训练营场景下它是"安全治理可视化"的最佳教具，能直观演示"全公司加密模块只有一个人会改"这类隐藏风险。短板是它偏治理洞察而非可执行修复，闭环依赖人工后续动作。变现上适合做成"年度安全健康度报告"订阅，对标 GitClear、LinearB 的治理视角。与 CODEOWNERS 文件相比，它揭示的是"事实上的所有权"而非"声明上的所有权"，这是它的不可替代价值。 ### 7. `/verify` — 变更行为验证闭环 官方命令，补上左移链路的最后一环：**验证代码变更是否真正生效**。它通过运行应用并观察行为，确认修复确实起作用、功能确实可用、本地变更在推送前已验证。常与 `/run`（启动并驱动项目 app）配合——`/run` 负责"让它跑起来"，`/verify` 负责"证明它跑对了"。 功能完整度★★★★☆、上手★★★★☆、变现★★★☆☆。上手门槛在于它依赖项目能被启动（需正确的 run 入口探测），但一旦跑通，它把"测试通过 ≠ 行为正确"的灰色地带变成可观察证据。训练营价值在于教学"验证思维"：很多 AI 生成的代码能过单测却行为错误，`/verify` 是最后一道人证替代。变现可嵌入"AI 代码可信度"服务——给每条 AI 修复附上运行态验证视频/日志。短板是适配项目类型有限（CLI/Server/TUI/Electron/浏览器驱动），冷启动需配置。建议把它作为整个左移链路的收口：审完、改完、跑过、验真，四步闭环才算合并。 ## 左移链路生态分类思维导图 ```mermaid mindmap root((质量左移审查生态)) 官方门禁命令组 /code-review 正确性bug与清理 --comment PR行内评论 --fix 工作树修复 四档努力度 low/medium/high/max /simplify 三代理质量重构 reuse 复用清理 quality 质量清理 efficiency 效率清理 /verify 行为验证闭环 运行应用观察行为 配合/run启动 官方安全审查组 /security-review OWASP扫描 内置多代理系统 密钥泄露检测 GitHub Action形态 CI流水线嵌入 行级安全评论 社区安全治理组 security-best-practices Python安全惯用法 TS/JS安全惯用法 Go安全惯用法 security-threat-model 信任边界枚举 滥用路径分析 Markdown威胁模型 security-ownership-map 人员-文件拓扑 bus factor风险 CSV/JSON可视化导出 编排模式 分档置信度审查 多代理并行视角 仓库落地而非空谈 事实所有权校验 运行态验证收口 ``` ## 推荐排行榜 **综合实力榜**（开箱可用 × 集成深度 × 误报控制） 1. `/security-review`（9.0）— 官方 + Action + 多代理，安全门禁天花板 2. `/code-review`（9.2）— 正确性门禁标配，分档机制成熟 3. `/simplify`（8.8）— 质量清理最快路径，三代理架构标杆 4. `/verify`（8.3）— 链路收口不可缺，行为证据提供者 5. `security-threat-model`（7.9）— 威胁面独家能力 6. `security-best-practices`（7.6）— 规范补充层 7. `security-ownership-map`（7.4）— 治理洞察独家 **变现潜力榜**（产品化外壳 × 计费清晰 × 对标空间） 1. `/security-review` — GitHub Action 天然 SaaS，对标 Snyk 入门档 2. `/code-review` — 托管审查 App，按仓库计费 3. `security-threat-model` — 合规/等保报告订阅 4. `security-ownership-map` — 年度安全健康度报告 5. `/verify` — AI 代码可信度验证服务 6. `/simplify` — 更偏能力封装，独立定价弱 7. `security-best-practices` — 建议型产物，闭环弱 **训练营适用榜**（教学阶梯 × 范本价值 × 课时弹性） 1. `/simplify` — 三代理协作最佳教学范本，2 小时入门 2. `/code-review` — 分档置信度审查教学阶梯 3. `/security-review` — 安全左移真实 PR 演示 4. `security-ownership-map` — 治理可视化冲击力强 5. `/verify` — 验证思维收口课 6. `security-threat-model` — 进阶需 STRIDE 基础 7. `security-best-practices` — 按语言分诊微课 **社区活跃度榜**（拆解文章 × 二次创作 × 更新频率） 1. `/simplify` — 2026 年 4 月起大量三代理机制拆解 2. `/security-review` — Gecko、HowDoIUseAI 等多站长文指南 3. `/code-review` — explainx、computingforgeeks 速查表覆盖 4. `security-ownership-map` — 小众但垂直社区关注 5. `security-threat-model` — 安全圈讨论为主 6. `/verify` — 随 Claude Code 版本演进 7. `security-best-practices` — 讨论集中在触发准确性 ## 五环联动编排建议 单点最强是 `/security-review`，但 ROI 最高的是**五环编排**：PR 触发后先 `/code-review --comment` 找正确性铁案，再 `/simplify` 清质量债，接着 `/security-review` 扫 OWASP 漏洞，随后 `security-threat-model` 定期跑全仓威胁面，`security-ownership-map` 季度跑责任拓扑，最终 `/verify` 在合并前做行为验真。这套链路的精髓在于**分档置信度 + 多代理视角 + 仓库落地 + 运行态证据**四原则——它把传统"一把梭"的代码审查拆成可追溯、可分诊、可计费的工业流水线，这正是 2026 年工作流自动化在"审"这一环的真正前沿。 ## 参考来源 1. [Code Review - Claude Code Docs](https://code.claude.com/docs/en/code-review) — 官方 `/code-review` 命令与 `--comment`/`--fix`/努力度档位说明 2. [anthropics/claude-code-security-review - GitHub](https://github.com/anthropics/claude-code-security-review) — Anthropic 官方 AI 安全审查 GitHub Action，CI 流水线集成形态 3. [What Does /simplify Do in Claude Code? (Three-Agent Code Review)](https://www.howdoiuseai.com/blog/2026-04-16-what-does-simplify-do-in-claude-code-code-review) — `/simplify` 三代理并行审查机制（reuse/quality/efficiency）拆解 4. [Claude Code Security Review: Complete Guide for Developers (April 2026)](https://www.gecko.security/blog/claude-code-security-review-guide) — `/security-review` 多代理系统与 OWASP 覆盖面实战指南 5. [Claude Code /simplify and /batch Commands Guide](https://claudefa.st/blog/guide/mechanics/simplify-batch-commands) — `/simplify` 与 `/batch` 配合下的批量审查与迁移编排 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。