threat-model-studio

它从公网出口与 API 路由、自动化工作流、敏感信息暴露和审计控制等方面检查 Claude Code 使用环境，并输出风险等级、已验证证据、待确认信息和整改建议。它不能从本地确认账号地区、支付或身份信息，也不提供代理轮换、伪装位置或其他绕过平台风控的方法。

输入一个 CVE 和你的环境信息，它会逐项核对版本、配置、厂商修复与攻击前提，给出受影响、不受影响或需要验证的结论，并为关键条件附上来源。它用于扫描告警后的人工分诊，不替代漏洞扫描或合规记录；运行时需要联网查询权威资料，并依赖可持久化本地环境档案。

这个 Claude Code 技能可在对话中创建或更新 1Password 项目，生成只含 op:// 引用的可提交 .env.tpl，并通过 op run 在运行时把真实密钥注入子进程。它还提供轮换和多种开发工具集成模式；使用前需要安装 1Password CLI v2 并完成登录，且应避免 source 或 eval 等不安全注入方式。

production-audit 结合线上 URL、GitHub 信号和仓库结构，重点找出 Webhook 幂等、RLS、密钥暴露、限流、索引和移动端等高影响问题，并返回评分与优先关注项。它补充的是发布后的外部审计，而非编辑器内代码扫描；主要面向有公开仓库和在线地址的应用，并会调用 commit.show 服务。