WorkBuddy技能评测 #225 | 安全、测试、运维 42 件：从威胁建模到 TDD 四步法，出事前最该翻的一组
基本信息
- 技能名：threat-modeling-expert / security-auditor / security-scanning-security-sast / security-scanning-security-dependencies / security-scanning-security-hardening / security-compliance-compliance-check / backend-security-coder / frontend-security-coder / frontend-mobile-security-xss-scan / mobile-security-coder / malware-analyst / reverse-engineer / pypict-skill / tdd-workflows-tdd-red / tdd-workflows-tdd-green / tdd-workflows-tdd-refactor / tdd-workflows-tdd-cycle / tdd-orchestrator / test-automator / unit-testing-test-generate / api-testing-observability-api-mock / performance-testing-review-* / observability-engineer / observability-monitoring-slo-implement / observability-monitoring-monitor-setup / incident-responder / incident-response-* / error-debugging-* / error-diagnostics-smart-debug / debugger / distributed-debugging-debug-trace / shellcheck-configuration / go-playwright / ui-visual-validator / accessibility-compliance-accessibility-audit / database-migrations-migration-observability（42 条）
- 来源仓库 Star 数：5,309 – 5,319
- 分类：Testing & Security 为主
- 数据来源：SkillKit 中央技能库（WorkBuddy 生态的第三方技能市场，非官方自研）
它解决了什么痛点
安全和运维的共同点是「平时没收益，出事全是你的」。威胁建模听起来高级，其实就是坐下来问「谁能从哪进来、进来能拿到什么」；TDD 四步法（red-green-refactor-cycle）听起来教条，其实是逼你别写完代码再补测试；可观测性听起来是企业级话题，其实就是「出事时你手里有没有那条日志」。
这组的价值在于把「该问的问题」写成流程：threat-modeling-expert 给你 STRIDE 式的提问表，observability-monitoring-slo-implement 让你先定 SLO 再谈监控，incident-responder 把故障响应拆成「止损 → 定位 → 复盘」三段，error-debugging-* 那五六个变体则是「让 AI 按结构化方式查 bug，而不是瞎猜」。
对我有没有用（技术 / 自媒体 / AI / 读书）
技术：强推三个——threat-modeling-expert（决定你的接口该不该对外开放）、observability-monitoring-slo-implement（决定你半夜会不会被叫醒）、error-debugging-*（决定你查 bug 是 20 分钟还是两小时）。TDD 四步法那一组（red/green/refactor/cycle）是把「测试驱动」拆成可以逐步执行的命令，适合真的想练这个习惯的人。自媒体：弱，除非你写安全科普。AI：中等——这些技能示范了「约束模型输出」的方法，比如让它先列假设再动手。读书：无。
注意：security-scanning-* 这类「扫描」技能，不会真的替你扫。它给的是扫描清单和判读标准，实际执行还得靠 semgrep / trivy / npm audit 这些工具。别期待「装了就安全」。
典型场景
你要给 lab 加一个「上传文件」的接口。做法：先用 threat-modeling-expert 过一遍（谁能传、传多大、传上来能不能被执行、存储桶权限对不对），再用 backend-security-coder 写校验，用 api-testing-observability-api-mock 造几个恶意请求试，最后用 observability-monitoring-slo-implement 定一条「上传失败率 > 5% 就报警」。成果：接口上线前就想清楚了最坏情况，而不是被人传了个 webshell 才发现。
一句话结论
三个必看：威胁建模、SLO、结构化调试。其余按需——扫描类技能只给清单，工具还得你自己装。
📊 完整对比数据见在线总表：WorkBuddy 技能市场全量调研总表（腾讯文档）
发表评论: