前几轮我们看惯了 skillsmp.com 上动辄几十万安装的社区 Skill，这轮换个角度：把第三方市场完全关掉，只靠官方自带的东西，开发者的「审查→测试→调试」闭环到底能不能转起来？ 本期评测对象全部来自 Anthropic 官方一手来源——Claude Code 捆绑 Skills（/code-review、/verify、/run、/debug）、官方示例库 anthropics/skills 中的 webapp-testing、官方插件 pr-review-toolkit，以及 6.1k Star 的 claude-code-security-review。核心发现有三条：一是官方已把「代码审查」拆成了三个互相咬合的层次（内置命令、插件级多 Agent、Action 级安全审查），定位几乎不重叠；二是 webapp-testing 的 SKILL.md 是「上下文经济学」的教科书样本，它通篇在教模型少读代码；三是捆绑 Skill 正在悄悄变成「会自我记录的 Skill」，/run-skill-generator 和 /verify 会把踩过的坑写回项目里的 SKILL.md，这是社区 Skill 目前普遍没有的能力。
评分维度与权重：功能完整度 25%、设计质量 25%、实战效果 20%、上手难度 15%、社区活跃度 15%。总分按权重加总。
| 评测对象 | 形态 | 功能完整度 | 设计质量 | 实战效果 | 上手难度 | 社区活跃度 | 加权总分 |
|---|---|---|---|---|---|---|---|
/code-review（含别名 /review） |
内置捆绑 Skill | ★★★★½ | ★★★★★ | ★★★★½ | ★★★★★ | ★★★★ | 4.63 |
claude-code-security-review |
GitHub Action + 斜杠命令 | ★★★★½ | ★★★★½ | ★★★★½ | ★★★★ | ★★★★★ | 4.50 |
/verify + /run + /run-skill-generator |
内置捆绑三件套 | ★★★★ | ★★★★½ | ★★★★ | ★★★★½ | ★★★★ | 4.20 |
pr-review-toolkit |
官方插件（6 Agent） | ★★★★½ | ★★★★½ | ★★★★ | ★★★★ | ★★★½ | 4.18 |
webapp-testing |
官方示例库 Skill | ★★★★ | ★★★★★ | ★★★★ | ★★★½ | ★★★½ | 4.10 |
/debug |
内置捆绑 Skill | ★★★ | ★★★½ | ★★★½ | ★★★★★ | ★★★★ | 3.68 |
/code-review：官方审查链路的入口，也是「参数化 Skill」的范本它是 Claude Code 的捆绑 Skill，无需安装，官方命令参考中给出的完整签名是：
/code-review [low|medium|high|xhigh|max|ultra] [--fix] [--comment] [pr#|branch|path]
定位：审查当前 diff，或者你传入的 PR 号、分支、路径，找正确性 bug 和可简化点。三个修饰参数各管一件事：--fix 直接落地修复、--comment 把发现以 inline 评论贴到 GitHub PR 上、ultra 触发云端深度审查。
亮点在于它示范了 Skill 设计里很高级的一招——用 effort 档位换token预算。低档快速扫，ultra 档做深度审查，同一个 Skill 覆盖从「提交前自查」到「合入前终审」的所有场景，用户不需要学第二个工具。另外它有别名 /review，且官方文档明确：如果你在项目里自己写一个 code-review Skill，会覆盖内置版——但别名 /review 永远指向内置版。这个「占名不占别名」的设计让团队能安全地定制审查逻辑而不破坏肌肉记忆。
短板：面向 diff 的设计意味着它不管「整个代码库的历史债」，大范围重构审查不是它的活。
使用：无需安装，升级 Claude Code 即有。常用姿势：
# 提交前快速自查
/code-review low
# 审 PR #42 并把结论贴回 GitHub
/code-review --comment 42
claude-code-security-review：6.1k Star，把安全审查搬进 CI这是本期社区热度最高的官方项目：6.1k Star、665 fork（数据来自仓库 README 抓取，2026-08-28）。它不是一个传统 Skill，而是两条腿走路：作为 GitHub Action 跑在 CI 里，同时提供 /security-review 斜杠命令在本地触发。
功能设计上有三个值得抄的点：
custom-security-scan-instructions 参数允许团队追加自家安全规范。最值得注意的反而是它 README 里的警告：该工具未针对 prompt injection 加固，只应用于受信任的 PR，官方建议公共仓库开启「Require approval for all external contributors」。官方工具主动承认「AI 审查本身是攻击面」，这种坦诚在生态里还不多见——也解释了为什么它选择只做「diff 级、可信环境」的安全审查，而不是包打天下。
安装（Action 方式，来自官方 README 原文）：
name: Security Review
permissions:
pull-requests: write
contents: read
on:
pull_request:
jobs:
security:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
ref: ${{ github.event.pull_request.head.sha || github.sha }}
fetch-depth: 2
- uses: anthropics/claude-code-security-review@main
with:
comment-pr: true
claude-api-key: ${{ secrets.CLAUDE_API_KEY }}
本地方式：直接 /security-review；要定制就把仓库里的 security-review.md 拷到 .claude/commands/ 改。
/verify + /run + /run-skill-generator：会自己长记忆的验证三件套这组是官方捆绑 Skills 里概念最新的一批，官方文档对三者分工的定义：
| Skill | 职责 |
|---|---|
/run |
启动并驱动你的应用，亲眼看到改动生效 |
/verify |
构建并运行应用，确认改动真的做了它该做的事——明确不许拿「测试通过」或「类型检查通过」当替身 |
/run-skill-generator |
教会前两者怎么启动你的项目 |
零配置可用是基本盘：/run 和 /verify 会从项目类型（CLI、server、TUI、浏览器驱动）和 README、package.json、Makefile 推断启动方式。但真正有意思的是兜底机制——一旦项目需要标准启动之外的东西（数据库、env 文件、图形会话），推断就不可靠了，这时 /run-skill-generator 上场：它从干净环境把应用跑起来，把有效的安装命令、环境变量、启动脚本捕获成一个 per-project Skill 写进 .claude/skills/run-<name>/。/verify 也有同样的自我记录能力，踩坑后会把有效步骤写回 .claude/skills/verify/SKILL.md，monorepo 里则写在对应 package 目录。
这构成了一个闭环：Skill 的第一次运行在「学习」，之后的所有运行在「复用」。官方文档还特别提到一个迭代细节：v2.1.205 之前，捆绑 Skill 会让 Claude 把每次运行学到的东西都折叠进记录文件，结果造成频繁的 merge conflict；新版本改成只在「这次运行真的被带偏了」时才改文件。这是官方在真实使用反馈里打磨 Skill 行为的罕见公开痕迹。
短板：三件套强依赖「应用能被启动」。对纯库项目或需要真实外部依赖的环境，/verify 的「不退回测试」原则反而会让它卡住。
pr-review-toolkit：官方插件里的「审查特工队」同样来自 anthropics/claude-code 仓库的官方插件目录，pr-review-toolkit 把「代码审查」拆成 6 个专职 agent：comment-analyzer（注释与代码是否一致）、pr-test-analyzer（行为覆盖 vs 行数覆盖）、silent-failure-hunter（吞异常狩猎者）、type-design-analyzer（类型封装与不变量）、code-reviewer（CLAUDE.md 合规与 bug）、code-simplifier（保功能降复杂度）。
设计上最值得学的是置信度评分体系，每个 agent 有自己的量化语言：pr-test-analyzer 给测试缺口打 1-10 分（10 = 必须补）、type-design-analyzer 在四个维度各打 1-10 分、code-reviewer 按 0-100 打分（91-100 = critical）。统一「结构化、可排序、带文件行号」的输出格式，让多 agent 的结论能拼成一份优先级报告而不是一锅粥。
README 甚至给出了标准动线：写代码 → code-reviewer → 修问题 → silent-failure-hunter（若动了错误处理）→ 补测试 → pr-test-analyzer → comment-analyzer → 通过后 code-simplifier 抛光 → 建 PR。
短板：6 个 agent 全跑一遍 token 消耗可观，README 自己都提醒「Don't over-use：聚焦改动代码，别扫全库」。它和 /code-review 的关系是互补而非替代——后者管 diff 正确性，前者管 PR 质量的六个切面。
安装：
# 仓库内置示例插件，通过插件菜单安装
/plugins
# 找到 pr-review-toolkit → Install
安装后以 /pr-review-toolkit:review-pr 调用，可选参数：comments、tests、errors、types、code、simplify、all。
webapp-testing 的 SKILL.md，一句「别读我的源码」背后的设计哲学来自官方示例库 anthropics/skills（/plugin marketplace add anthropics/skills 后可用），这是本期唯一做逐段拆解的对象，因为它是官方库里把「如何为模型写文档」表达得最极致的一份。
name: webapp-testing
description: Toolkit for interacting with and testing local web applications
using Playwright. Supports verifying frontend functionality, debugging UI
behavior, capturing browser screenshots, and viewing browser logs.
description 只有两句：第一句钉死技术栈（本地 Web 应用 + Playwright），第二句列四个可触发场景（验证前端功能 / 调试 UI / 截图 / 看浏览器日志）。按官方文档，description 会与 when_to_use 一起在 1536 字符处截断进 Skill 列表——这份 description 没浪费一个字在「为什么」上，全在「是什么、何时用」。
- Always run scripts with
--helpfirst to see usage- Do NOT read source code unless absolutely necessary - scripts are designed as black-box tools
第二条在 Skill 写作里相当大胆：一般 Skill 生怕模型缺上下文，恨不得把脚本内容全贴进提示词；这份 SKILL.md 反着来，明确告诉模型脚本很大，读了会污染上下文窗口。它赌的是「模型会用 --help 的输出当接口文档」——这是把 CLI 工具的接口约定迁移到了 Skill 设计里，上下文成本从 O(源码长度) 降到 O(help 文本长度)。
SKILL.md 用 ASCII 画了整棵决策树：静态 HTML？直接读文件找 selector，失败就按动态处理。动态应用？服务器没起 → with_server.py 托管；已在跑 → 走「侦察-再行动」四步（导航等 networkidle → 截图/查 DOM → 从渲染结果找 selector → 执行动作）。Mermaid 重绘如下：
flowchart TD
A[用户任务] --> B{静态 HTML?}
B -->|是| C[直接读 HTML 找 selector]
C -->|成功| D[写 Playwright 脚本]
C -->|失败/不完整| E[按动态应用处理]
B -->|否| F{服务器已在运行?}
F -->|否| G[python scripts/with_server.py --help<br/>托管服务器生命周期]
G --> H[写简化版 Playwright 脚本]
F -->|是| I[侦察-再行动]
I --> I1[导航并等待 networkidle]
I1 --> I2[截图或检查 DOM]
I2 --> I3[从渲染结果识别 selector]
I3 --> I4[用找到的 selector 执行动作]
把流程画成树而不是写成段落，等于替模型省掉了一次「自己组织执行顺序」的推理——这类「图先进脑子」的写法，在动辄几千 token 的社区 Skill 里反而是少数派。
with_server.py——生命周期托管这个「必要之恶」# 单服务器
python scripts/with_server.py --server "npm run dev" --port 5173 -- python your_automation.py
# 多服务器（后端 + 前端）
python scripts/with_server.py \
--server "cd backend && python server.py" --port 3000 \
--server "cd frontend && npm run dev" --port 5173 \
-- python your_automation.py
它解决的是自动化测试最脏的活：起服务、等端口就绪、测完收割进程。Skill 把它封装成黑盒，SKILL.md 里只给调用姿势。
Playwright 模板里有两处硬编码进注释的指令：Always launch chromium in headless mode、CRITICAL: Wait for JS to execute（page.wait_for_load_state('networkidle')）。配套还有一个专门的 Common Pitfall 小节，用正反对照强调「动态应用没等 networkidle 就查 DOM」是头号翻车点。把已知的第一大坑单独成节并给出反例代码——这比罗列十条 best practices 更有效，因为它命中的是模型最高频的错误路径。
三个参考脚本各管一个主题：element_discovery.py（发现页面元素）、static_html_automation.py（file:// 协议测静态页）、console_logging.py（抓浏览器控制台日志）。SKILL.md 本体不讲它们的内容，只列名字和一句话——模型按需再读。这就是官方「分层加载」理念（SKILL.md 薄、资源文件厚）的标准实现。
短板：强依赖 Python 版 Playwright 环境，新手第一次跑通 with_server.py 的多服务器形态有门槛；它只管「本地应用」，对需要登录态/外部 API 的场景没有给出方案。
安装：
# 方式一：作为官方 marketplace 安装
# Claude Code 内执行：
/plugin marketplace add anthropics/skills
# 方式二：直接拷贝
git clone https://github.com/anthropics/skills
cp -r skills/skills/webapp-testing ~/.claude/skills/
/debug：最朴素的一个，也是上限最明显的一个/debug [description] 的功能用一句话说完：为当前会话开启 debug 日志并读日志排查问题。没有架构、没有多 agent、没有评分，它的价值全在「把 claude --debug 的门槛从『重启会话加 flag』降到『敲一个命令』」。给新手五星，给重度用户三星半——排查 Skill 不触发、插件加载失败这类问题时它够用，但调试应用层 bug 时，它和 /verify 的「跑起来亲眼看」是两个世界。
/debug 频繁弹出权限确认，怀疑是 hooks 配置问题
综合加权总分：/code-review (4.63) > claude-code-security-review (4.50) > /verify 三件套 (4.20) > pr-review-toolkit (4.18) > webapp-testing (4.10) > /debug (3.68)
新手首选：/code-review + /debug —— 零安装零配置，输 / 就有。
团队 CI 首选：claude-code-security-review —— 唯一能无人值守跑在 PR 流水线里的，6.1k Star 是社区用脚投票的结果。
SKILL.md 写作教科书：webapp-testing —— 想学「怎么给模型写文档」，读它的收益高于绝大多数社区高安装量 Skill。
设计模式最前沿：/verify + /run-skill-generator —— 「Skill 自己写 Skill」的自我记录闭环，预示了 Skill 生态的下一个方向：不只是人写 Skill 给模型用，还有 Skill 在运行中沉淀出项目专属的 Skill。
mindmap
root((官方开发者效率Skill版图))
内置捆绑
/code-review 审查diff
/verify 跑起来验证
/run 启动应用
/run-skill-generator 沉淀启动配方
/debug 读调试日志
官方示例库 anthropics/skills
webapp-testing Playwright黑盒测试
skill-creator 等创作工具
官方插件目录
pr-review-toolkit 六Agent审查
code-review 多Agent PR审查
security-guidance 编辑时安全提醒
独立官方项目
claude-code-security-review
6.1k Star GitHub Action
/verify 自我记录机制、name 冲突规则/code-review、/debug、/verify、/batch 等捆绑 Skill 的官方定义与别名[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。