先交代选题逻辑。新星榜的筛选动作本栏 09-01 已总结过两步：看描述里有没有 skill 字样，再看曲线是有机斜线还是脉冲悬崖。把这两步跑完之后，09-03 快照里剩下的真 Skill 新面孔只有一个空描述的 VI-Translate（⭐474）——无材料可拆。但换一个角度看，「新星」不必等于「新上星图」：本会话注册表里躺着的这组抓包件，三个月内被本站三期不同编辑、三套不同权重的评测各自独立打过分，却至今没有一个公开的 Star 数、没上过任何榜单。生态里最被真实使用的那一层，恰好是星图照不到的那一层——这本身就是本期要论证的新趋势：Skills 生态正在分裂成「星图件」（争夺注意力）与「隐形件」（嵌入行业工作流）两个平行市场，而后者的存活周期远比前者长。
把三期存档里关于这一族的记录摆齐：
| 存档 | 记录原文要点 | 当期评分 | 口径 |
|---|---|---|---|
| 05-26（skills-ecosystem-0512） | “目前Skills生态中最专业的垂直领域Skill之一”，5G 核心网全协议栈（NGAP/5G-NAS/PFCP/GTP/Diameter）+ IMS（SIP/SDP），法证级分析，异常检测（注册风暴、PFCP 会话泄漏、GTP 隧道错误）；“配合 pcap-generator（测试数据生成器）可形成完整解决方案” | 3.6 | 含变现维度的五维 |
| 07-10（skills-ecosystem-2059） | 后端为 Wireshark/TShark 3.x+，“来源：本地技能”；演示：丢一个 .pcap 问“为什么这个 UE 的 PDU 会话建立失败”，技能调 TShark 过滤 NGAP 信令、还原 SBI 调用链、指出失败节点；“与 3gpp-5g-specs 读规范、UERANSIM/free5gc 跑仿真构成‘规范—仿真—抓包’电信铁三角” | 3.45 | 含变现/训练营维度 |
| 08-27（skills-ecosystem-1537） | “与 pcap-generator、pcap-modifier 同族”；安装 npx skills add pcap-analyzer；“把 tcpdump/Wireshark 的专业世界翻译成自然语言对话……定位重传/丢包/TLS 握手异常”；“排障报告从半天的手工过滤变成几分钟的对话往返” |
3.80 | 本栏标准五维 |
三个测量结论。其一，分数漂移本身就是信号：3.6 → 3.45 → 3.80，三期口径不同不能纵向比，但「三个月内被三期独立记起」这件事本身，比任何一期分数都更有分量——小众件没有传播渠道，它靠的是每次编辑翻注册表时都还觉得值得写。其二，分发形态的记录互相矛盾：07-10 记“本地技能”，08-27 记 npx skills add 市场安装——两种记录并存说明它活在市场目录与团队私有件的交界处，这是垂直件的典型生态位。其三，本族在全部存档中的可见度极不均匀：analyzer 有三处详评，generator 只有两处一笔（“测试数据生成器”“造仿真流量做自动化测试”），modifier 仅有一处括注（08-27 的同族说明），连一句功能描述都没被记下过——本期的拆解价值正在这个不均匀里。
权重沿用本栏基准：功能 25%、设计 25%、实战 20%、上手 15%、社区 15%（上手分越高越容易）。analyzer 有三期存档佐证，generator 有存档碎片，modifier 仅名字在册：
| 项目 | 定位 | 功能 25% | 设计 25% | 实战 20% | 上手 15% | 社区 15% | 加权 |
|---|---|---|---|---|---|---|---|
| pcap-analyzer | 报文取证·对话式分析 | ★★★★ | ★★★ | ★★★★ | ★★☆ | ★★★ | 3.38 |
| pcap-generator | 仿真流量构造※ | ★★★☆ | ★★☆ | ★★★☆ | ★★★ | ★★☆ | 3.03 |
| pcap-modifier | 报文改写※ | ★★★ | ★★ | ★★☆ | ★★★ | ★☆ | 2.43 |
| x64dbg-mcp-server（对照，存档分） | 调试器接线 | ★★★★ | ★★★ | ★★★★ | ★★ | ★★★ | 3.30 |
| reverify（对照，存档分） | 校验型逆向 | ★★★ | ★★★★ | ★★★ | ★★ | ★★ | 2.95 |
评分说明：analyzer 功能分依据三期存档一致记载的 IE 级解析与异常检测，设计分压到三星是因为存档从未记录其有验证回路或分文件路由；generator、modifier 为黑箱估分，依据名字合约与存档碎片，若实测功能与名字合约不符应下调。两个对照件的分数原样引用 09-03 第 3 轮存档，不重复评。
综合三期存档，可核实的能力清单有五条：协议面覆盖 5G 核心网全栈（NGAP / 5G-NAS / PFCP / GTP / Diameter）与 IMS（SIP / SDP）；解析深度到 NGAP 的 IE 级、5G-NAS 的字段级；异常检测有具名场景（注册风暴、PFCP 会话泄漏、GTP 隧道错误、重传/丢包/TLS 握手异常）；输出形态是含时序图与统计摘要的 Markdown 报告；后端是 TShark 3.x+。05-26 存档还给出了它的变现测算（单次分析报告 $200–500、企业年许可 $10000–50000——该文的估算，非成交记录）。
正文虽未取得，但从「它必须做到什么」可以反推「它的 SKILL.md 必须写了什么」。一个能兑现上述事实清单的协议分析件，至少要有四层：
tshark -Y "ngap.procedureCode==..." 这类确定性查询。这四层恰好是 09-03 第 3 轮提炼的「以运行时事实为准绳」家族的电信分支：webapp-testing 以渲染后 DOM 为准、x64dbg 以断点内存为准、reverify 以二进制本体为准——pcap-analyzer 以信令为准。报文是网络世界的运行时事实，模型对“这个 UE 为什么掉线”的任何推测，最终都要回到包里对质。
其一，上手门槛是硬伤：三期评分里上手从未超过 2.5 星，05-26 直说“非通信从业者几乎无法使用”。这不是缺陷而是定位——但意味着它的教学场景比工具场景更宽（08-27 给训练营维度打满，称“教学适配性最强”）。其二，无验证回路记载：存档从未记录它有“结论回归包文自证”的自查步骤——它取证的原料本身就是事实，问题在于模型对 TShark 输出的解读仍可能出错（比如把重传误判为应用层超时），一份好的 SKILL.md 应当要求结论附带原始过滤器与报文编号供回查。此条为设计建议，非实测缺陷。
pcap-generator（⭐存档碎片级材料）。仅有的两处记载：「测试数据生成器」（05-26）、「造仿真流量做自动化测试」（08-27）。名字合约清楚：不读包，造包。它在族里的价值是补上“没有真实流量时怎么办”——教学造样例包、测试造回归包、压测造背景流量。以下为设计推演（本栏提案，非文档记载）：它与 analyzer 构成天然的出题—阅卷对——generator 造一个带已知缺陷的 PFCP 序列，analyzer 应当检出这个缺陷；检出失败，说明 analyzer 的异常规则有洞。一个技能家族能给自己出考试题，这是通用内容类 Skill 不可能有的结构优势：写 violet 风格的件没法自动验证“紫得对不对”，而报文世界的对错是协议规定的。
pcap-modifier（全库仅一处提及）。唯一记载是 08-27 的同族括注，无任何功能描述。名字合约只能推断到「修改既有 pcap」，具体用途全属推测，按可能性排列：异常注入（把正常包改坏，配合上面说的出题—阅卷闭环）、脱敏（现网抓包含 IMSI、密钥材料，外发分析前需改写——电信行业合规刚需）、重放前处理（改时间戳/地址以适配测试环境）。三种用途都成立，但哪一种是作者的真实意图，未经证实——这也是本期评分表里它社区分只有一星半的原因：连被讨论的记录都没有，何谈社区。把它列出来不是为了给它定价，而是为了指出一个现象：垂直件家族常常以“无名第三件”的形态存在——它不被评测、不被提及，却可能是家族里使用频率第二高的那一环（每一次把现网包带出内网，理论上都该过一遍脱敏）。
flowchart LR
A[现网/教学需求] --> B[pcap-generator<br/>造：仿真流量+已知缺陷]
B --> C[pcap-modifier※<br/>改：注入异常/脱敏/重放前处理]
C --> D[pcap-analyzer<br/>读：TShark取证+IE级解析]
D --> E[Markdown诊断报告<br/>时序图+失败节点]
E -->|检出失败=规则有洞| B
D -.信令事实为准绳.-> F[webapp-testing DOM/x64dbg内存/reverify二进制]
把三件套放回生态全景，本期想留下三个判断。
判断二：垂直件的分发层至今是模糊的。“本地技能”与 npx skills add 两种记录并存（07-10 vs 08-27），暗示这类件常在「团队私有定制」与「公开市场上架」之间反复横跳。生态基础设施（Skills CLI、各目录站）目前为公开件设计，私有件没有版本管理、没有更新推送、没有评分回收——垂直件市场的真正瓶颈不是供给，是分发与信任的基础设施。
判断三：电信场景是 Skill 垂直化的天选试验田。本机注册表里同门完整：3gpp-5g-specs（规范层）、free5gc / UERANSIM（仿真层）、抓包三件套（取证层）——“规范—仿真—抓包”铁三角（07-10 提法）配上本期的读—造—改闭环，构成了其他行业还没有的完整证据链样本。协议行业的一切对错都有 RFC/3GPP 规格书兜底，这让电信垂直件天然规避了内容类 Skill“好不好无法验收”的死穴。
# 08-27 存档记载的市场安装写法（以实际仓库说明为准）
npx skills add pcap-analyzer
# 依赖：本机需有 Wireshark/TShark 3.x+（07-10 存档记载的后端要求）
tshark --version # 先确认后端就位
# 若 CLI 找不到该件（分发层模糊，见判断二），
# 检查本地 ~/.claude/skills/ 下是否已有 pcap-* 目录
试用路径建议按“先阅卷后出题”的顺序：先丢一份公开样例包（TShark 自带样例或课程抓包）问一个具体故障问题，检查报告是否给出可回查的过滤器与报文编号；再让它分析一份你自己亲手构造过缺陷的包，验证异常检测是真规则还是话术。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。