代码内持续威胁建模
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
threatspec 是一个开源的持续威胁建模项目，目标是缩小开发与安全之间的距离。它的思路不是让团队在外部文档中单独维护威胁模型，而是让开发者和安全工程师把威胁规格直接写在代码旁边，再从代码中动态生成报告和数据流图。
从页面示例看，threatspec 通过代码注释描述系统接受的风险、缓解措施和安全上下文，例如对文件写入、访问控制、文件权限等进行标注。随后可通过 threatspec run 执行分析，并用 threatspec report 生成可阅读和分享的威胁模型报告。其重点价值在于把威胁建模嵌入编码过程，使安全信息随代码一起维护。
页面展示了类似 Go 的代码示例，但正文没有明确说明支持的编程语言或框架范围，因此不能判断其跨语言能力。项目明确标注为 open source，并提供 GitHub 链接，这意味着团队可以查看源码并本地使用。正文未提及 API、SDK、CI/CD、IDE 或代码托管平台集成，仅展示了命令行使用方式。
抓取内容未出现商业定价、付费版或托管服务信息。基于其开源定位，可理解为免费使用，但企业级支持、SLA 或商业服务没有信息。文档方面，页面提供了“是什么”“如何工作”、注释示例和基本命令，入门概念清晰；但缺少安装、配置、语言兼容性、集成实践等更完整的信息。
优点是理念清晰、开源透明，能把威胁建模前移到开发阶段，并自动生成报告和数据流图，适合 DevSecOps 团队、安全工程师和希望在代码审查中沉淀安全上下文的开发团队。局限是页面信息较少，支持语言、维护状态、生态集成和企业支持不明确；页面提示新版发布于 2019 年，实际活跃度需要进一步查看 GitHub。
正文未提供访问、支付或国内部署相关信息，china_access 只能标为未知。若 GitHub 访问不稳定，国内团队可能需要准备代理或镜像方案。可参考替代品包括 OWASP Threat Dragon、Microsoft Threat Modeling Tool、IriusRisk 和 PyTM。
本测评基于公开资料整理,不构成购买建议,请以 threatspec.org 官网实际信息为准。
开源安全工具，可集成开发流程。
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。