一条命令装好 Claude 官方插件库,给 AI 装个代码安检员

它是什么

claude-plugins-official 是 Anthropic 官方维护的 Claude Code 插件目录（GitHub 43,636 星、Apache-2.0）。仓库分两半：/plugins 里是 42 个 Anthropic 内部插件（代码审查、安全扫描、技能生成、各语言 LSP 等），/external_plugins 里是 14 个审核过的第三方插件（GitHub、GitLab、Linear、Playwright、Context7、Firebase 等）。装上它，等于给 Claude Code 开了个官方应用商店。

适合谁：已经在用 Claude Code、想给 AI 加「靠谱」技能又不太敢乱装第三方市场的人；不适合：只把 Claude 当问答框、没打算让它进项目干活的人。

先说句真话：README 一开头就是免责声明——官方不验证每个插件内部带什么，装前自己看清楚组件。怎么看清，下面第三部分教你。

安装教学（本机实测于 2026-10-22；仓库无 release 版本号，插件 claude-security 装到 v0.12.0）

前置条件：① Claude Code 已安装（终端跑 claude --version，我本机是 2.1.296）；② 网络能访问 GitHub（市场同步要拉仓库）。

第一步｜确认官方市场在列

claude plugin marketplace list

输出里应有 claude-plugins-official（Source: GitHub anthropics/claude-plugins-official）——官方市场一般预置。没有就用这一行加进来：

claude plugin marketplace add anthropics/claude-plugins-official

第二步｜装一个官方插件（scope 默认 user=所有项目可用）

claude plugin install claude-security@claude-plugins-official

实测输出（约 7 秒）：√ Successfully installed plugin: claude-security@claude-plugins-official (scope: user)。

第三步｜验证装好了

claude plugin list

应看到 claude-security@claude-plugins-official 且 Status: √ enabled。不想用命令行？交互会话里敲 /plugin 打开面板，Discover 页能浏览全部插件，或者直接 /plugin install claude-security@claude-plugins-official 一样的装法。

使用教学｜普通上班族版（零门槛）

示例1：改完代码，让 AI 自查一遍。装好后在项目目录开 Claude Code 说人话。输入：「用 claude-security 扫一下 src，看看有没有漏洞。」它会让你在三个任务里选：扫描整个代码库（推荐）、扫描改动、生成修复补丁。选推荐项即可，AI 会先盘点代码、再派几个扫描 agent 分头上工，最后给你生成一个 CLAUDE-SECURITY-<时间戳> 报告目录，问题都带证据链。我实测非交互模式（-p）下它必须先看到你的确认，提示词里写明「我知道会耗时耗 token」才开跑；交互模式下它会直接开口问你。

示例2：装完先看看它给了你什么。命令行敲：

claude plugin details claude-security@claude-plugins-official

实测输出：claude-security 0.12.0 —— 1 个技能 + 9 个 Agent + 4 个钩子，常驻约 558 token。这招能让你在装任何插件前，先看它往会话里塞了什么、额外吃多少上下文，再决定装不装。

示例3：确认插件真的生效。让 AI 自己报一遍技能。输入：「读取 claude-security 技能的说明，一句话讲它提供哪三个任务选项。」实测回答：「扫描整个代码库（推荐）、扫描变更内容、为漏洞建议补丁。」——说明它已经长进 Claude 的技能表，随时能叫它干活。

进阶玩法｜AI 从业者版

① 控制作用域。默认装到 user（所有项目）。只想当前项目用，加 --scope project；某个目录临时用 --scope local。团队把要用的插件固化进项目级配置，成员拉项目自动同步。

claude plugin install code-review@claude-plugins-official --scope project

② 管理市场：加 / 更新 / 删。

claude plugin marketplace add anthropics/claude-plugins-official

claude plugin marketplace update

claude plugin marketplace remove claude-plugins-official

③ 成本先行。details 能在装之前就告诉你组件和预计 token。常驻型（hooks / skills）按会话吃 token，invoke 型按次吃；claude-security 这种 9 个 Agent 的属于「重装」，轻量场景选 claude-code-setup、commit-commands 这类只有命令和技能的更省。

④ 深扫的正确姿势。claude-security 的完整扫描是 9 个 Agent 的流水线（盘点→研究员→复核→补丁生成与复核），一定用交互会话并切到自动模式（Shift+Tab 切 auto，或 claude --permission-mode auto 启动），再放行它要的工具。我在 -p 非交互跑，--max-turns 25 只生成到准备阶段的报告目录就撞到轮数上限——不是它不干活，是多 Agent 流水线真的吃轮数。

⑤ 把安检接进流程。报告是纯文本加补丁产物，可配 post-commit 钩子或 CI 里跑 scope 较小的「扫描改动」，让每次合并前自动过一遍安检。

缺点与坑（4 条，全是本机实测）

坑1｜官方不背书。README 明说官方无法验证每个插件是否正常工作、也不可能保证它们不会变；插件里可能带第三方 MCP server（有网络权限）。装前务必用 details 看组件，别盲装。

坑2｜无版本号、迭代快。这个仓库不发 release，我另一批已装插件版本号混着 commit 前缀（如 b860d6f2554f）；官方插件系统本身也在快速迭代，命令以 claude plugin --help 为准。重要项目把插件更新单独做，别让 update 随手跑完。

坑3｜深扫吃轮数和 token。上面示例已经演示过——非交互模式容易停在准备阶段，完整报告请用交互 + auto 模式。

坑4｜插件名不可变。官方文档明确 name 是「不可变 slug」，改名会直接让你的安装报 plugin-not-found。遇到「之前好好的突然找不到」，先 claude plugin marketplace update，再 claude plugin update 插件名。

卸载方法——一行干净退场：

claude plugin uninstall claude-security@claude-plugins-official

只想暂时停用就用 claude plugin disable claude-security@claude-plugins-official；要连市场一起撤，再加一行 claude plugin marketplace remove claude-plugins-official。

评分与下篇预告

安装省心度 9/10（一行命令、市场预置）；上手难度 8/10（日常就是自然对话，深扫才有门槛）；效率实感 7/10（装它只是进货，值不值取决于你挑的插件）；趣味性 7/10。

下篇预告：把官方 code-review 插件接进项目，让 PR 自动打分；或者把 claude-security 的扫描接进 CI，每次合并前自动安检——到时候拿真实项目实测给你看。