francobee/claude-plugin-marketplace

# Claude Code Plugin Marketplace **为您的团队提供一个安全的 Claude Code“应用商店”——内置安全检查。** [](https://github.com/francobee/claude-plugin-marketplace/actions/workflows/pages.yml) [](docs/SECURITY.md) [](LICENSE) [](https://github.com/new?template_name=claude-plugin-marketplace&template_owner=francobee) [](https://francobee.github.io/claude-plugin-marketplace/) [](CONTRIBUTING.md) 插件赋予了 Claude Code 超能力——但它们在用户的会话中以用户的权限运行，并且会自动更新。一个糟糕的插件就会发布给所有人。这个项目是一个插件市场，**外加使其值得信赖的流水线**：每一次更改都要经过 schema 验证、风险检查、密钥扫描、冒烟测试，并在人类批准合并之前由 Claude 进行 prompt injection 审查。然后，它会自我维护。 [](https://francobee.github.io/claude-plugin-marketplace/) ## 选择您的路径 | 您想要… | 从这里开始 | 时间 | |---|---|---| | 📦 从市场**安装插件** | [使用它](#-use-it) · [非技术教程](docs/TUTORIAL-USER.md) | 1 分钟 | | 🏢 **为您的公司运行一个市场** | [设置您自己的](#-set-up-your-own) · [非技术教程](docs/TUTORIAL-ADMIN.md) | ~10 分钟 | | 🧩 **编写或导入插件** | [添加插件](#-add-a-plugin) | ~15 分钟 | | 💜 **改进此项目** | [CONTRIBUTING.md](CONTRIBUTING.md) — **诚招维护者** | 随时欢迎 | 对这些完全陌生？**上述教程不需要任何技术背景**（它们从安装 Claude 桌面应用开始），并且[初学者指南](docs/GETTING-STARTED.md)会用通俗易懂的语言为每个角色讲解相关概念。 ## 📦 使用它 **使用此市场：** ``` # 在 Claude Code 内部 /plugin marketplace add francobee/claude-plugin-marketplace /plugin install plugin-dev@internal ``` 就是这样。当市场发布更改时，插件会自动更新——您无需重新安装。浏览[目录站点](https://francobee.github.io/claude-plugin-marketplace/)或 [CATALOG.md](CATALOG.md) 中的可用内容。 ## 🏢 设置您自己的市场 **`/setup` 向导包揽一切**——从此模板创建您的私有公司仓库，用通俗易懂的英语对您进行询问（不需要了解 YAML），保护主分支，启用目录站点，并为您提供一份健康检查清单： ``` # 在 Claude Code 内部 /plugin marketplace add francobee/claude-plugin-marketplace /plugin install marketplace-admin@internal /setup ``` 偏好其他方式？`./init.sh` 是离线备用方案（五个问题），[初学者指南](docs/GETTING-STARTED.md#part-4--setting-up-your-own-marketplace-admin)包含逐步点击的手动操作路径，而 [AGENTS.md](AGENTS.md) 是一份机器可读的操作手册，您可以将其粘贴到任何 AI agent 中。 **设置完成后，所有特定于公司的内容都集中在一个文件中：`marketplace.config.yml`。** 编辑它，运行 `python3 scripts/apply_config.py`，提交一个 PR——每个派生文件（目录、文档、CODEOWNERS、设备 payload）都会重新生成，并且 CI 会拒绝手动编辑的渲染值。当出现问题时，它会*向您*大声报错，并对您的用户*保持静默*：每个故障都有一个错误代码（[docs/TROUBLESHOOTING.md](docs/TROUBLESHOOTING.md)），并会自动提交一个去重的 GitHub issue。 **目录站点存放在哪里？** 您可以选择免费选项：GitHub Pages（公共仓库）或 Cloudflare Pages（即使是私有仓库也免费）——只需一个配置值，详见 [docs/HOSTING.md](docs/HOSTING.md) 中的操作指南。或者干脆不要站点：[CATALOG.md](CATALOG.md) 始终可用。 **向受管设备推出 Claude Code**（JumpCloud、Jamf、Intune、Kandji）？[docs/FLEET.md](docs/FLEET.md)——安装、策略、凭证和计划的健康检查，全部由相同的配置生成。 ## 🧩 添加插件 ``` /plugin install plugin-dev@internal # inside Claude Code, from your marketplace /new-plugin my-idea # scaffold (or /vendor-plugin to import) # …编辑、测试使用：claude --plugin-dir plugins/my-idea /submit-plugin # branch, version, changelog, validation, PR — all handled ``` 内部规则（风险等级、版本控制、CI 拒绝的内容）在 [docs/AUTHORING.md](docs/AUTHORING.md) 中。导入他人的插件会将其固定在特定的 commit 上，并每周监控上游——请参阅 [docs/VENDORING.md](docs/VENDORING.md)。 ## 🛡️ 在任何内容发布前会进行哪些检查 每个 pull request 都要运行八项检查；在此基础之上还需由人类（CODEOWNERS）批准。没有例外，包括对管理员也是如此。 | 检查项 | 捕获内容 | |---|---| | Manifest 验证 | 损坏/缺失的元数据，目录不一致 | | 版本 + 更新日志门禁 | 未提升版本号就默默发布的更改 | | 密钥扫描 (gitleaks) | 提交的 token 和密钥 | | 风险 lint | 危险模式、隐藏的 Unicode、未声明的风险等级、不在您白名单内的网络调用 | | 冒烟测试 | 结构损坏的插件（这类插件能顺利合并但在安装时会失败） | | 配置漂移 | 对生成文件的手动编辑 | | Claude 安全审查 | diff 中的 prompt injection、数据泄露、隐藏指令 | | 权限清单 | 将插件*实际*涉及的内容（命令、endpoint、MCP 服务器）作为 PR 评论发布在作者*声称*的内容旁边 | 诚实的威胁模型，包括这无法捕获的内容：[docs/SECURITY.md](docs/SECURITY.md)。 ## 仓库地图 | 路径 | 用途 | |---|---| | `marketplace.config.yml` | **唯一事实来源**——所有特定于公司的值 | | `.claude-plugin/marketplace.json` | 目录（从配置 + 插件条目渲染） | | `errors.json` | 错误注册表：每种故障模式 → 代码、影响、修复 | | `plugins/` | 每个插件一个目录（+ `.upstream.json` / `.scorecard.json` 附带文件） | | `scripts/` | 门禁 + 机制：验证、风险 lint、版本、冒烟测试、LLM 审查、记分卡、目录、站点、脚手架、vendor 导入、上游监控、apply_config、通知、test_all | | `templates/` | 由 apply_config.py 渲染到文档和 fleet payload 中的片段 | | `fleet/` | 生成的 MDM payload：托管设置 + JumpCloud 生命周期脚本 | | `.github/workflows/` | pr-validation（8 项检查门禁）、post-merge（渲染/目录/站点/记分卡/公告）、upstream-watch（每周）、pages + site-cloudflare（站点部署，受 `site.hosting` 门禁限制） | | `docs/` | 指南（见下文） | | `AGENTS.md` / `CLAUDE.md` | 在此仓库中工作的 AI agent 的操作手册 + 规则 | | `init.sh` | 离线引导备用方案（写入 marketplace.config.yml） | ## 文档 | 文档 | 阅读时机 | |---|---| | [TUTORIAL-USER](docs/TUTORIAL-USER.md) | 您只是想使用插件——桌面应用、两个命令、零术语 | | [TUTORIAL-ADMIN](docs/TUTORIAL-ADMIN.md) | 您正在为公司进行设置但不写代码——向导会完成所有工作 | | [GETTING-STARTED](docs/GETTING-STARTED.md) | 您是新手——整个概念、设置、日常使用、管理操作 | | [AUTHORING](docs/AUTHORING.md) | 您正在编写插件——等级、版本控制、CI 拒绝的内容 | | [VENDORING](docs/VENDORING.md) | 您正在导入第三方插件 | | [SECURITY](docs/SECURITY.md) | 您想要了解威胁模型和诚实的注意事项 | | [HOSTING](docs/HOSTING.md) | 您正在选择目录站点的存放位置（GitHub Pages / 免费 Cloudflare / 无） | | [FLEET](docs/FLEET.md) | 您正在向受管机器推出 (MDM) | | [TROUBLESHOOTING](docs/TROUBLESHOOTING.md) | 某些操作失败并带有错误代码（从 errors.json 生成） | | [UPDATING](docs/UPDATING.md) | 您的实例仓库想要最新的模板发布 | | [CONTRIBUTING](CONTRIBUTING.md) | 您想要改进此项目（或成为维护者！） | ## 种子插件 - **company-essentials** — 模板公司上下文插件（`/it-help`、`/standup`、company-context 技能）。填写内容并使其成为您专属的。 - **plugin-dev** — `/new-plugin`、`/vendor-plugin`、`/validate-plugin`、`/submit-plugin` + 编写内部规则技能。 - **marketplace-admin** — `/setup`（实例创建向导）+ `/status`（安装健康检查清单）+ 管理操作技能。 ## 路线图 已设计和规范化的内容，即将按顺序推出：匿名的 **usage analytics** + Grafana fleet 仪表板（仅限指标，绝不记录日志）→ 一流的 **agent/hook/template 分类法** → 带有一键 vendoring 的 **trending-plugin 摘要** → `/update-marketplace` 一键模板更新（手动流程今日可用：[docs/UPDATING.md](docs/UPDATING.md)）。 MIT 授权。使用 Claude Code 构建。

标签：Claude Code, Cutter, 代码质量检查, 插件市场, 自动化运维, 逆向工具