本期是开发者效率系列的第三轮，主角是一条本栏目从未整版拆过的赛道：安全审计。9月13日的生态周报在盘点本机装机清单时留下过一句话——「安全赛道在本栏目从未拆过，这是首次装机记录」，同期榜单还显示安全需求并未消失，只是换了供应商。本期补上这一课，把装机实存的安全三件套（security-threat-model / security-best-practices / security-ownership-map，出自 GitHub 仓库 lyndonkl/claude）、专业安全公司 Trail of Bits 的官方技能套件（trailofbits/skills），以及 Claude Code 内置的 /security-review 官方闸门，共五件放进同一张评测表。
核心发现先说结论：这五件几乎不存在同维度竞争，它们天然分层——官方闸管「这次改动坏起来会怎样」，三件套分别管「这行代码怎么写的」「这个架构怎么被打」「出事谁负责」，Trail of Bits 管「专业审计员的整套动作」。安全 Skills 生态已经悄悄长成了一条纵深防线，而不是一个货架。
评分综合本栏目历史实测记录（2026-05-19 治理专文实测、2026-07-08 榜单、2026-09-10 验证回路专文），按本栏目标准权重加权：功能完整度 25% + 设计质量 25% + 实战效果 20% + 上手难度 15% + 社区活跃度 15%。
| 维度（权重） | best-practices | threat-model | ownership-map | ToB 套件 | /security-review |
|---|---|---|---|---|---|
| 功能完整度（25%） | ★★★★★ | ★★★★☆ | ★★★★☆ | ★★★★★ | ★★★☆☆ |
| 设计质量（25%） | ★★★★★ | ★★★★☆ | ★★★★☆ | ★★★★☆ | ★★★☆☆ |
| 实战效果（20%） | ★★★★☆ | ★★★★☆ | ★★★☆☆ | ★★★★☆ | ★★★☆☆ |
| 上手难度（15%） | ★★★★☆ | ★★★☆☆ | ★★★☆☆ | ★★★☆☆ | ★★★★★ |
| 社区活跃度（15%） | ★★★★☆ | ★★★☆☆ | ★★☆☆☆ | ★★★★☆ | ★★★☆☆ |
| 加权综合 | 4.50 | 3.70 | 3.35 | 4.10 | 3.30 |
说明：三件套的 Star 数与实测数据引用 5 月存档（best-practices 约 3.8K、threat-model 约 1.2K、ownership-map 约 600），9月未做复测；ToB 套件 7 月存档约 6K Star。内置件随 Claude Code 版本发布，无独立社区维度。
三件出自同一个仓库 lyndonkl/claude，命名成组、职责切分干净。这是安全赛道里少见的「产品思维」：作者没有做一个大而全的「安全审计件」，而是把安全工作的三个不同提问拆成了三件。
定位：语言/框架级安全编码审查，覆盖 OWASP Top 10，支持 Python、JavaScript、Go、Java、Rust 五大语言，每种语言独立规则集。三件中上手最友好的一件——5 月实测记录里它被标注为「零配置自动识别」，输出清晰到开发者不需要安全背景也能读懂。
亮点：5 月的实测记录值得一字不改地复述——对一个 Python Flask 应用审查，30 秒扫完 47 个源文件，标记 6 个潜在问题：2 个 SQL 注入（未参数化查询）、1 个不安全反序列化（pickle.load）、1 个硬编码密钥、2 个 CORS 配置错误。每个发现都带 OWASP 分类编号（如 A03:2021-Injection）和修复建议代码片段。这个「发现即教学」的设计让它同时是审计工具和教材——每个发现就是一次安全知识传递。
短板：赛道并不空白，Snyk、Semgrep 等成熟商业 SAST 已占据大量市场；它的差异化在于住在 Claude Code 工作流里、可交互式追问，而不是告警列表的吞吐量。行业特定威胁库也有待扩展。
定位：仓库级威胁建模，把 STRIDE、LINDDUN 传统方法论嵌入日常开发流。扫描 Git 仓库的代码结构、依赖关系、信任边界，输出结构化威胁模型报告（Markdown 格式，含 CVSS 3.1 影响评级与缓解措施），覆盖 OWASP Top 10 和 CWE 分类。
亮点：它是三件里唯一在「架构层」工作的一件。5 月实测记录：在一个 REST API + PostgreSQL + Redis 的中型 Node.js 项目上，它先扫目录结构，识别出 12 个信任边界（用户→API 网关、API→数据库、API→缓存、API→第三方服务），再在每条边界上做 STRIDE 分析。这个「先画边界再套分类法」的顺序，正是人工威胁建模的标准动作—— Skill 把资深安全工程师的思维顺序固化成了提示词流程。
短板：微服务架构的跨服务威胁追踪暂不支持，容器与云原生（K8s/Service Mesh）场景规则库薄弱；需要安全建模基础知识才能解读输出，5 月两份存档给它的上手分都是 3 星。对比 OWASP Threat Dragon 这类手动拖拽建模工具，它赢在自动化，输在没有图形界面，纯文本输出对非技术审计人员不友好。
定位：三件里最冷门也最「组织学」的一件。解析 Git 提交历史和 CODEOWNERS 文件，构建「代码→团队→安全责任」的拓扑映射，输出每个安全敏感模块的责任人、最近审查日期、已知安全 Issue 关联。
亮点：5 月实测记录中的场景很能说明问题——在一个 180+ 贡献者的 monorepo 上解析 3 年 Git 历史，生成按目录维度的责任矩阵：认证模块→Platform Team（最近审查 32 天前，2 个未解决 CVE）、支付模块→Billing Team（7 天前，0 个未解决 CVE），同时标出 5 个「无主代码」区域——CODEOWNERS 条目缺失却包含安全敏感逻辑。无主敏感代码是几乎所有大团队都存在却没人去数的东西，这件 Skill 的价值就是把「没人管」变成一个可以指着的数字。
短板：三件中社区最弱（5 月存档约 600 Star、12 位贡献者）；输出要结合组织架构解读，小团队用意义有限；对 GitHub Enterprise Server 自托管实例支持不足。它本质是 500 人以上工程团队的痛点工具。
按本栏目 5 月实测记录，它的执行链路是四步：
| 步骤 | 动作 | 产物 |
|---|---|---|
| 1 | 扫描项目结构与依赖 | 模块清单、技术栈识别 |
| 2 | 识别信任边界 | 安全域之间的接口列表 |
| 3 | 逐边界套用 STRIDE | 威胁矩阵 |
| 4 | 生成结构化报告 | 威胁描述 + CVSS 3.1 评级 + 缓解措施 |
其中 STRIDE 六类的检测策略在存档中记录完整：Spoofing 分析认证流程查身份冒充、Tampering 查数据签名与完整性校验、Repudiation 审计日志与操作追踪、Info Disclosure 做数据分类与访问控制审查、DoS 查资源限制与速率配置、Elevation of Privilege 分析权限模型与角色继承。这套表的含金量在于它不是泛泛的检查清单，而是「方法论→检测策略」的翻译层——SKILL.md 的设计质量正体现在这里：它替模型完成了从抽象分类法到具体动作的映射，这是普通「你是一个安全专家」式提示词做不到的。
定位：顶级安全审计公司（客户包括以太坊基金会、Coinbase，据本栏目 5 月存档）把审计工作流打包成 Claude Code 技能集，GitHub 仓库 trailofbits/skills，7 月存档约 6K Star，Python 实现，走 Claude Code 插件市场安装，配专门文档站。
亮点：能力密度明显高于社区三件套——能跑 CodeQL 与 Semgrep 分析、检测常见漏洞模式、辅助 YARA 规则编写、做 OWASP 合规检查、覆盖智能合约与 C/C++/Rust 审计。对比传统 SAST 的关键差异还是那句话：它不给你告警列表，它让智能体接着分析漏洞可利用性并给出修复补丁。这家公司的入局本身是个信号：5 月存档的评价是「顶级安全公司开始将 Claude Code 视为可信的审计工具」，专业服务正在被 Skills 化。
短板：上手门槛全场最高，要看得懂 CodeQL 查询与漏洞分类；按仓库/按漏洞计费的合规报告是它的商业主场，个人开发者日常使用属于杀鸡用牛刀。9 月装机清单里它未被整包装机、由三件套分担需求（「换了供应商」），也从侧面说明重型件与日常件的使用频率差距。
定位：Claude Code 内构件，无需安装，会话内斜杠调用。对当前改动做发布前安全检查——注入、越权、敏感信息泄漏这类必修项。本栏目 9 月 10 日验证回路专文给它 功能3/设计3/实战3/上手5/社区3 的评分，并有一句精准的设计拆解：常规 code-review 回答「代码对不对」，security-review 回答「代码坏起来会怎样」——前者找与意图的偏差，后者主动构造攻击者视角。
亮点：上手零成本，且被有意排在验证回路的最后一环——安全问题的修复成本随合并时间指数上升，这道闸的位置本身就是设计。它还与 /code-review --comment/--fix、/simplify、/verify 构成官方审查流水线，/code-review 支持审前设 low/medium/high/max 档位。
短板：作为通用内构件它没有业务上下文——不知道你的鉴权模型、不知道哪个字段是敏感数据，误报漏报都靠人兜底。官方的定位也很清醒：它是每个 PR 合并前的例行闸门，不是渗透测试与专业审计的替代品。重度安全团队仍需自写带业务知识的专属安全 Skill。
把五件放进一个 PR 的生命周期，分工一目了然：
flowchart TD
A["改动代码"] --> B["threat-model 架构层"]
B --> C["best-practices 代码层"]
C --> D["ownership-map 组织层"]
D --> E{"security-review 官方闸"}
E -->|有高危| A
E -->|通过| F["合并"]
F --> G["ToB套件 定期深审"]
四个提问各归其位：架构怎么被打（上闸前想清楚）、这行怎么写的（逐行过一遍）、出事谁负责（把责任拓扑对齐）、这次改动坏起来会怎样（合并前最后一道），ToB 套件则不在日常回路边上，而是低频、重型的定期深审。安全 Skills 生态的成熟度，恰恰体现在它已经不需要一件「全能安全件」，而是像真实安全团队一样分层布防。
# 社区三件套（来源仓库 lyndonkl/claude，skills CLI 口径）
npx skills add lyndonkl/claude/security-best-practices
npx skills add lyndonkl/claude/security-threat-model
npx skills add lyndonkl/claude/security-ownership-map
# Trail of Bits 套件：走 Claude Code 插件市场安装（7月存档口径，具体命令以其仓库 README 为准）
# 手动安装口径（5月存档）：将套件内各 SKILL.md 复制到 .claude/skills/ 对应子目录
git clone https://github.com/trailofbits/skills
# 官方闸门：Claude Code 内置，无需安装，会话内直接调用
/security-review
按综合评分：1. security-best-practices（4.50）——语言级审查的完成度标杆；2. ToB 套件（4.10）——能力密度第一，门槛也第一；3. security-threat-model（3.70）——架构层唯一解，云原生短板待补；4. security-ownership-map（3.35）——大团队刚需，小团队鸡肋；5. /security-review（3.30）——分不高，但每人都该用。
按新手友好度：1. /security-review（零安装零配置）；2. security-best-practices（零配置自动识别、输出可读）；3. security-threat-model（需方法论基础）；4. ToB 套件（需安全工程功底）；5. security-ownership-map（还需一张组织架构图）。
按企业采购价值：1. ToB 套件（直接对接合规报告与审计服务）；2. security-ownership-map（责任矩阵是审计证据文件，可对应 ISO 42001 的职责定义条款）；3. security-best-practices（可作 CI/CD 安全门禁与 EU AI Act 技术文档附录）；4. security-threat-model（威胁建模准备时间从数天压到数分钟）；5. /security-review（免费基线，人人有份）。
同赛道替补席：据本栏目 5 月存档，agamm/claude-code-owasp（OWASP 检查清单专项，合规场景更精准）、danavila7/supply-chain-guard（供应链门禁，综合 4.4）、getsentry 官方集成（错误监控侧，30+ 子 Skills）各有生态位；OWASP 社区自 5 月起已开始关注 Claude Code 安全 Skill 生态。
赛道通病有三：规则库更新滞后于新攻击面（云原生是最明显的洼地）；输出均为文本，缺少 Threat Dragon 式图形化；社区基数小，除 best-practices 外 Star 体量都不大。
还有一条安全 Skills 特有、别的赛道没有的风险，本栏目 9 月 12 日周报提过一嘴，值得在此展开：安全建议本身也有保质期。本机 4 月备份里躺着三件套的旧拷贝，一旦某天有工具或人「顺手恢复」，过时的安全检查规则就会借尸还魂——旧 PPT 件顶多产出丑片子，旧安全件会给你一份「看起来很专业」的错误安心。装安全件，就要像管理依赖一样管理它们的版本与出处；这也是为什么本篇所有数据都标注了存档月份。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。