当生成式编码把"提交到上线"压缩进分钟级，真正稀缺的不再是写代码的速度，而是挡在合并按钮前的那一道闸。本期评测聚焦工作流自动化赛道中最被低估的一支——**CI 安全门禁引擎**：它们不生产代码，却在每一次 Pull Request、每一次工作流触发、每一次边缘发布时担任守门员。我们把目光从"谁能更快上线"转向"谁能更稳地阻止危险上线"，对七款围绕威胁建模、安全审查、所有权治理、CI 编排、PR 闭环、边缘交付与长时守望的 Skill 进行七维度实测。 ## 概述 本轮评测选取的七个 Skill 构成一条完整的"左移安全→门禁执行→交付落点→持续守望"流水线：`security-threat-model` 在设计期枚举攻击路径，`security-best-practices` 在编码期按语言框架审计，`security-ownership-map` 在治理层计算 bus factor 与孤儿代码，`github-actions-skill` 把这些能力编排进 CI，`gh-address-comments` 让审查意见自动闭环，`cloudflare-deploy` 把"安全即代码"推到边缘交付，`long-running-agent` 则在背后维持长时任务的稳定运行。我们发现：单点安全 Skill 已趋成熟，但真正的护城河来自**门禁链路能否自洽闭环**——威胁模型能否落地为 CI 规则、规则能否回写到 PR 评论、评论能否被自动修复。在变现维度上，合规驱动型（所有权治理、威胁建模）的定价空间显著高于工具型（部署、CLI 编排），训练营适配性则以"可教学性"最强的 `security-best-practices` 为首。 ## 评测对比总表 | Skill | 功能完整度 | 上手难度 | 变现潜力 | 训练营适用 | 社区活跃 | 综合分 | |------|:---:|:---:|:---:|:---:|:---:|:---:| | security-threat-model | ★★★★ | ★★★ | ★★★★★ | ★★★★ | ★★★★ | 4.3 | | security-best-practices | ★★★★ | ★★★★★ | ★★★ | ★★★★★ | ★★★★ | 4.1 | | security-ownership-map | ★★★★ | ★★★ | ★★★★★ | ★★★ | ★★★ | 4.0 | | github-actions-skill | ★★★★★ | ★★★★ | ★★★ | ★★★★ | ★★★★★ | 4.2 | | gh-address-comments | ★★★★ | ★★★★ | ★★★ | ★★★★ | ★★★★ | 3.9 | | cloudflare-deploy | ★★★★ | ★★★★★ | ★★ | ★★★ | ★★★★★ | 3.8 | | long-running-agent | ★★★ | ★★★ | ★★★★ | ★★★ | ★★★ | 3.4 | --- ## 一、security-threat-model：把抽象威胁钉进代码库 来源：社区安全 Skill（OpenSkillIndex 收录 `ckorhonen-claude-skills-security-threat-model` 等多版本）；触发词为"威胁建模""enumerate threats""AppSec threat modeling"。这是一款**仓库锚定型**威胁建模引擎，与那种输出空泛"信息泄露风险"的通用模型截然不同——它强制要求从 `git` 历史与目录结构出发，枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，并产出一份简洁的 Markdown 威胁模型文档。 核心演示：对一个含外部 webhook 的服务，它会先绘制信任边界（公网入口→API 网关→内部服务→数据库），再逐边界列出攻击者能力（伪造签名、SSRF、越权写入），最后映射到 STRIDE 分类与可执行的缓解项（增加 HMAC 校验、限制出站 IP）。其最大价值在于**把"威胁"从概念层拽到"哪一行、哪一条调用链"**，让 PR 审查有据可依。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★ | 覆盖资产/能力/路径/缓解四要素，缺自动回归验证 | | 上手难度 | ★★★ | 需具备 STRIDE/攻击面基础 | | 变现潜力 | ★★★★★ | 合规刚需，可包装为"等保/ISO27001 预审"服务，定价空间高 | | 训练营适用 | ★★★★ | 标准化模板利于教学，建议 4 课时 | | 社区活跃 | ★★★★ | 多社区分支，迭代稳定 | **变现/训练营分析**：威胁建模是甲方安全团队与乙方测评机构都愿付费的能力，可封装为"威胁建模即服务"按仓库订阅。训练营方面，它是最适合讲清"安全左移"理念的载体，模板化输出降低了学员的写作门槛。**与竞品对比**：通用大模型威胁建模常被诟病"Too Abstract（无具体攻击向量）"，本 Skill 用"仓库锚定"对冲了这一通病，是同类中落地感最强者。 ## 二、security-best-practices：开箱即用的语言级守门员 来源：Anthropic 官方安全 Skill 套件；仅在三门语言（Python、JavaScript/TypeScript、Go）且用户**明确**请求"安全最佳实践审查/安全报告/secure-by-default"时触发。这是一款**窄而深**的审查器——不涉足通用 code review 或调试，只做框架相关的安全基线核查：注入、鉴权、密钥泄露、依赖漏洞、不安全反序列化等。 核心演示：扫描一段 Flask 视图，它会指出未启用 CSRF、`debug=True` 残留、SQL 用字符串拼接；扫描 Go 服务，它会标记未校验的 `os/exec` 输入与默认不安全的 TLS 配置。输出按"严重度/位置/修复建议"三栏组织，可直接贴进 PR 评论。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★ | 三语言覆盖扎实，跨语言能力待扩 | | 上手难度 | ★★★★★ | 几乎零门槛，触发即用 | | 变现潜力 | ★★★ | 工具型同质化高，需捆绑合规才好卖 | | 训练营适用 | ★★★★★ | 最适合做"第一堂安全课" | | 社区活跃 | ★★★★ | 官方维护，规则持续更新 | **变现/训练营分析**：作为单品变现偏弱（SAST 工具已免费），但其教学价值极高——学员能在几分钟内看到自己的代码被标红并给出修复，反馈闭环极短，是训练营的最佳入门教具。**与竞品对比**：相比 Semgrep/CodeQL 的"规则配置门槛"，它用自然语言触发、零配置开箱，劣势是无法像专业 SAST 那样跑大规模 CI 批处理，更适合"PR 内即时审查"而非全仓扫描。 ## 三、security-ownership-map：用 git 历史算出风险地形图 来源：社区治理类 Skill（mcpmarket 收录 `security-ownership-map`）；仅当用户**明确**要求做"以安全为导向的所有权/bus-factor 分析"时触发。它分析 `git` 仓库，构建人→文件的**安全所有权拓扑**，计算 bus factor（关键人员离场风险）、识别孤儿敏感代码、定位敏感代码热点与所有权簇，并导出 CSV/JSON 供图数据库与可视化使用。 核心演示：对一个微服务仓库，它会输出"支付密钥目录仅有 1 位维护者（bus factor=1）""鉴权中间件 80% 提交来自已离职作者"这类结论，并生成所有权聚类图，让安全负责人一眼看到"哪里一旦断人就崩"。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★ | 拓扑+bus factor+孤儿检测齐全 | | 上手难度 | ★★★ | 需理解 git 日志语义与组织架构 | | 变现潜力 | ★★★★★ | 合规与研发治理双买单，稀缺品类 | | 训练营适用 | ★★★ | 概念抽象，适合进阶课 | | 社区活跃 | ★★★ | 品类新，参与者少 | **变现/训练营分析**：这是七款中**蓝海属性最强**的一款——把 DevSecOps 的"人"维度量化为可交付指标，企业愿为"年度安全所有权报告"付费，定价可对标 Snyk 的团队级席位。训练营方面偏进阶，适合作为"安全治理"模块的压轴案例。**与竞品对比**：传统 CODEOWNERS 只反映"声明"的所有权，本 Skill 用 git 真实提交算出"事实"所有权，两者对照恰好能暴露治理名实不符，这是其不可替代的卖点。 ## 四、github-actions-skill：把安全能力焊进 CI 来源：社区工作流编排 Skill，紧贴 Claude Code GitHub Actions 官方能力（`@claude` 触发的 AI 自动化）；当需要生成/调试 `.github/workflows`、配置密钥与权限矩阵、接入 `@claude` 代码审查机器人时触发。它是七款中**编排中枢**，负责把前三款的安全能力挂到 CI 触发器上。 核心演示：它可以一键生成"PR 触发→安全审查→威胁模型回归→评论回写"的四段式 workflow，配置 `permissions: contents: read` 最小权限，并把 `secrets.ANTHROPIC_API_KEY` 注入到审查步骤。还能为常见安全场景（依赖扫描、容器镜像签名、SLSA 证明）预置模板。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★★ | 模板全、权限与密钥处理专业 | | 上手难度 | ★★★★ | 懂 YAML 与 Actions 概念即可 | | 变现潜力 | ★★★ | 编排工具易被官方特性覆盖 | | 训练营适用 | ★★★★ | 讲 CI/CD 落地的标准教材 | | 社区活跃 | ★★★★★ | 官方背书，生态最热 | **变现/训练营分析**：单品变现有限（GitHub 官方在快速补齐能力），但作为"安全 Skill 套装"的黏合剂，它是训练营里讲清"左移如何落地到 CI"的关键一环。**与竞品对比**：相比手写 YAML 与第三方 Action 拼装，它的优势在于内建安全基线（最小权限、密钥隔离）与 `@claude` 原生集成；劣势是强依赖 GitHub 生态，对 GitLab/Bitbucket 用户价值打折。 ## 五、gh-address-comments：让 PR 审查真正闭环 来源：基于 `gh` CLI 的 PR 协同 Skill；当需要自动响应审查评论、批量处理 review、把"待修改"标记转化为提交时触发。如果说前面四款是"发现问题"，它就是"消化问题"——把散落在 PR 里的安全建议逐条落地为代码改动并回写。 核心演示：一个 PR 收到 12 条安全审查意见后，它会解析评论锚点（文件+行号），按依赖顺序批量修复，最后用 `gh pr comment` 汇报"已处理 10 条，2 条需人工确认"，并把 PR 状态从 "Changes requested" 推进到可合并。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★ | 评论解析与批量回写扎实 | | 上手难度 | ★★★★ | 需熟悉 gh CLI 与 PR 模型 | | 变现潜力 | ★★★ | 闭环工具，组合价值高于单体 | | 训练营适用 | ★★★★ | 讲"协作自动化"的活案例 | | 社区活跃 | ★★★★ | gh 生态活跃，更新跟随 | **变现/训练营分析**：它是整条门禁链路的"最后一公里"——没有它，前四款产出的安全建议会堆积成无人处理的评论债务。单独售卖乏力，但作为"安全门禁套装"的闭环组件不可或缺。训练营中它是演示"AI 协作≠单向生成"的最佳素材。**与竞品对比**：与 "CI 自愈修复引擎"（已评测的失败即自愈类）相比，它聚焦的是**审查评论**而非**CI 报错**，对象是"人写的意见"而非"机器抛的栈"，二者互补而非替代。 ## 六、cloudflare-deploy：把安全门推到边缘 来源：社区部署 Skill，对接 Cloudflare Workers/Pages 官方 `agent-setup`；当用户要求"部署到 Cloudflare"时触发。在 CI 安全语境下，部署不是终点而是**最后一道门禁的执行体**——边缘网络天然的 WAF、Bot 管理、速率限制让"被放行的代码"在上线的瞬间获得运行时防护。 核心演示：它把项目部署为 Worker，自动绑定 Secrets、配置路由与自定义域，并建议开启 WAF 托管规则集与速率限制。配合前序安全 Skill，可形成"审查通过→签名镜像→边缘发布→WAF 兜底"的纵深防御链。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★★ | Workers/Pages/绑定全覆盖 | | 上手难度 | ★★★★★ | 一条命令上线 | | 变现潜力 | ★★ | 平台官方能力强，单品难溢价 | | 训练营适用 | ★★★ | 偏运维，作交付演示用 | | 社区活跃 | ★★★★★ | 官方持续投入 | **变现/训练营分析**：作为单品变现最弱（Cloudflare 官方文档与 CLI 已足够强），但它能让"安全门禁链路"有一个看得见的终点，训练营中适合做"从审查到上线"的收尾演示。**与竞品对比**：相比纯托管部署 Skill（已评测的一令即上线类聚焦"快速上线"），本评测侧重其**安全落点**价值——边缘 WAF 作为运行时兜底，是代码审查无法覆盖的"最后一层"。 ## 七、long-running-agent：门禁背后的长时守望者 来源：社区代理基础设施 Skill；当任务需要跨多次工具调用、长时监控、后台轮询时触发。在 CI 安全链路里，它扮演的是"持续守望"角色——威胁模型需要周期性回归、所有权地图需要随提交刷新、PR 闭环需要等待 CI 重跑，这些都不能在单次交互内完成。 核心演示：它可以挂起一个任务循环，每隔固定周期重新跑 `security-best-practices` 并与上一次结果 diff，只在出现新增高危时通知；或持续守望一个 PR 直到 CI 全绿再触发自动合并。其本质是给一次性 Skill 装上**心跳**。 | 维度 | 评分 | 说明 | |------|:---:|------| | 功能完整度 | ★★★ | 机制可用，调度策略较简 | | 上手难度 | ★★★ | 涉及状态管理与超时设计 | | 变现潜力 | ★★★★ | "安全托管运营"模式的底座 | | 训练营适用 | ★★★ | 偏架构，适合高阶 | | 社区活跃 | ★★★ | 品类前沿，范例少 | **变现/训练营分析**：它是把"一次性安全审查"升级为"持续安全运营"的关键基础设施，可支撑"7×24 安全守望"订阅服务，变现想象空间大但落地复杂度高。训练营偏架构向，适合作为压轴的"系统设计"课题。**与竞品对比**：相比单轮交互的 Skill，它的差异化在于**持久化与轮询**；缺点是当前生态对其模式与最佳实践尚缺共识，使用门槛偏高。 --- ## CI 安全门禁生态思维导图 ```mermaid mindmap root((CI安全门禁引擎)) 设计期左移 威胁建模 security-threat-model 信任边界 攻击路径 STRIDE 缓解措施 编码期审查 语言基线 security-best-practices Python注入/CSRF TS/JS密钥泄露 Go TLS/exec 治理期量化 所有权拓扑 security-ownership-map bus factor 孤儿敏感代码 人→文件聚类 门禁期编排 工作流 github-actions-skill 最小权限 密钥隔离 @claude审查 PR闭环 gh-address-comments 评论解析 批量回写 交付期兜底 边缘发布 cloudflare-deploy WAF托管规则 速率限制 Bot管理 运行期守望 长时任务 long-running-agent 周期回归 状态持久化 条件合并 ``` ## 七维能力雷达：门禁链路完整性视图 ```mermaid flowchart LR A[设计期
threat-model] --> B[编码期
best-practices] B --> C[治理期
ownership-map] C --> D[门禁编排
github-actions] D --> E[PR闭环
address-comments] E --> F[交付兜底
cloudflare-deploy] F --> G[运行守望
long-running-agent] G -.周期回归.-> A style A fill:#fde68a style F fill:#bfdbfe style G fill:#bbf7d0 ``` ## 推荐排行榜 **按"门禁闭环贡献度"排名（本赛道主榜）** 1. 🥇 `security-threat-model` — 唯一能把"为什么拦"讲清楚的引擎，是门禁的理由层 2. 🥈 `github-actions-skill` — 把安全能力真正挂进 CI 的中枢，决定链路是否成立 3. 🥉 `gh-address-comments` — 没有它，门禁只会制造评论债务 4. `security-ownership-map` — 治理层稀缺品类，合规加分项 5. `security-best-practices` — 入门最强教具，单点价值中等 6. `cloudflare-deploy` — 交付落点，运行时兜底 7. `long-running-agent` — 前瞻底座，落地需配套 **按"变现潜力"排名** 1. `security-ownership-map`（合规蓝海，可对标 Snyk 团队席位） 2. `security-threat-model`（等保/ISO27001 预审服务） 3. `long-running-agent`（安全托管运营订阅底座） 4. `security-best-practices`（需捆绑合规才好卖） 5. `github-actions-skill` / `gh-address-comments`（组合变现） **按"训练营可教性"排名** 1. `security-best-practices`（反馈闭环最短，最佳第一课） 2. `github-actions-skill`（CI 落地标准教材） 3. `security-threat-model`（讲清安全左移理念） 4. `gh-address-comments`（协作自动化活案例） 5. `security-ownership-map`（进阶治理课题） **按"上手难度"排名（越易越前）** 1. `security-best-practices` / `cloudflare-deploy`（零配置开箱） 2. `github-actions-skill` / `gh-address-comments`（懂 CI 概念即可） 3. `security-threat-model`（需 STRIDE 基础） 4. `security-ownership-map` / `long-running-agent`（概念抽象/架构向） ## 选型建议与延伸阅读 如果只能装三款，优先级是 **threat-model + github-actions + address-comments**——它们构成"理由→执行→闭环"的最小可用门禁。预算充足再叠加 `ownership-map` 做治理升级，用 `cloudflare-deploy` 收尾交付，用 `long-running-agent` 把一次性审查升级为持续运营。值得注意的是，本赛道的真正壁垒不在单品，而在**链路自洽**：威胁模型能否被翻译成 CI 规则、规则能否回写成 PR 评论、评论能否被自动消化——这条链路任何一环断裂，门禁就会退化为"好看的安全剧场"。下一轮评测将转向开发者效率赛道，敬请关注。 ## 参考来源 1. [Security Ownership Map | Claude Code Skill for Risk Analysis](https://mcpmarket.com/tools/skills/security-ownership-map) — 安全所有权拓扑、bus factor 与孤儿代码检测能力说明 2. [security-threat-model — OpenSkillIndex](https://openskillindex.com/skills/ckorhonen-claude-skills-security-threat-model) — 仓库锚定型威胁建模 Skill 的能力与常见"Too Abstract"问题剖析 3. [Claude Code GitHub Actions - Claude Code Docs](https://code.claude.com/docs/en/github-actions) — 官方 `@claude` 触发的 CI 自动化与安全审查集成文档 4. [Claude in CI/CD: Securing Agentic Pipelines - Blockchain Council](https://www.blockchain-council.org/claude-ai/claude-ci-cd-agentic-pipeline-security/) — Claude 在 CI/CD 中做代码审查、测试生成与 PR 摘要的安全实践 5. [The Ultimate Claude Code Resource List 2026](https://www.scriptbyai.com/claude-code-resource-list/) — 2026 年 Claude Code 生态（Agent/Skills/Plugins）全景资源索引 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。