00
引言
Claude Code 原生能力已经很强，但一进入真实项目，几个缺陷很快就会暴露：模型可能引用过时 API，生成的代码缺少独立审查，看不见浏览器里的网络请求，也很难跨会话保留完整背景。
插件可以补上这些“感官”。问题是，装得越多并不等于效率越高。每个插件都会引入新的上下文、依赖、权限和维护成本，有些还能执行本地代码，甚至读取浏览器会话。
所以，选择插件不该从“热门榜单”出发，而应该从工作流缺口出发。下面这 9 项，我把它们重新分成四层：安全底座、知识与代码理解、运行时调试，以及工程方法与长期记忆。
01
先装安全底座：生成更快，更需要独立复核
如果只能先装两项，优先解决“代码能不能放心合并”，而不是增加更多生成能力。
1. security-guidance：在修改落地前后检查安全风险
这是 Anthropic 官方插件。当前版本不只是简单的关键词提醒，而是组合了编辑时的模式检查、任务结束时的差异审查，以及提交阶段的代理式复核，可覆盖注入、XSS、SSRF、硬编码密钥、不安全反序列化等常见风险。
它适合所有会接触外部输入、鉴权、文件系统或网络请求的项目。但要明确：它是辅助审查，不替代 SAST、依赖扫描、渗透测试和人工安全评审。
安装命令：
/plugin install security-guidance@claude-plugins-official
2. code-review：把“写完以后再看一遍”变成固定流程
code-review 同样来自官方市场，重点是通过多个审查代理检查逻辑、测试、类型与质量问题，并过滤低置信度噪声。它更适合 Pull Request 场景，而不是把所有代码风格问题都交给模型裁决。
当前 Claude Code 还可能同时出现内置 /code-review 能力和插件命令。安装后应在插件详情页确认实际入口，避免把两个同名流程混在一起。
安装命令：
/plugin install code-review@claude-plugins-official
这两项的组合很清楚：security-guidance 关注危险边界，code-review 关注正确性与可维护性。它们都可能误报，也都不应拥有自动合并代码的最终决定权。
02
再补知识与语义：少猜 API，少猜代码结构
AI 编程最常见的“自信错误”，通常来自两个地方：对外部库版本不熟，以及对仓库内部类型关系理解不够。
3. Context7：把当前文档送进上下文
Context7 会检索与版本相关的库文档，并通过 MCP、Skill 和专用命令交给 Claude Code。它特别适合 Next.js、React、Tailwind 等更新频繁的技术栈。
它能降低过时 API 带来的错误，但不能保证文档一定完整，也不能替代实际编译和测试。匿名使用共享限额；需要更稳定额度时，可以配置自己的 CONTEXT7_API_KEY。
安装命令：
claude plugin marketplace add upstash/context7
claude plugin install context7@context7-marketplace
截至 2026 年 9 月 7 日，upstash/context7 在 GitHub 约有 6.17 万 Star，采用 MIT 许可证。
4. Language Server 插件：让 Claude 读取真实类型与诊断
该插件是Claude Code 官方市场提供一组按语言区分的 LSP 插件，例如 typescript-lsp、pyright-lsp、gopls-lsp 和 rust-analyzer-lsp。
它们能把定义跳转、引用关系和编辑后的诊断结果提供给 Claude。代价是你还需要安装对应的语言服务器二进制；大型单仓库中，LSP 也可能增加内存占用或产生路径配置误报。
例如 TypeScript 项目可以安装：
/plugin install typescript-lsp@claude-plugins-official
不要一次装完整套。项目用什么语言，就只装什么语言的插件。
03
浏览器问题要到浏览器里查
静态代码只能解释一部分前端故障。真正的 401、跨域、缓存、性能和 DOM 状态，往往只能在运行页面中看到。
5. Chrome DevTools MCP：检查真实页面、网络和控制台
这个项目由 Chrome DevTools 团队维护，本质上是一个 MCP Server，也可通过插件形式安装。它能读取控制台、网络请求、DOM、截图与性能轨迹，并用 Puppeteer 操作页面。
截至 2026 年 9 月 7 日，官方仓库约有 5.13 万 Star，采用 Apache-2.0 许可证。
它的能力很强，权限边界也必须讲清楚：连接现有 Chrome 会话后，工具可能看到已登录页面中的内容。官方还说明默认会收集调用成功率、延迟和环境信息等使用统计；如不需要，可以通过启动参数关闭。
只需要 MCP 能力时，可用：
claude mcp add --transport stdio chrome-devtools --scope user -- npx -y chrome-devtools-mcp@latest
建议为调试创建隔离的浏览器配置，不要让它接触私人邮箱、支付后台或其他敏感标签页。
04
让 Claude 按流程工作，而不是只会冲刺
剩下四项并非每个项目都必装。它们更适合长任务、复杂交付和重复流程。
6. Superpowers：把 TDD、调试和规划变成可调用方法
Superpowers 是一套工程方法 Skill 集合，覆盖头脑风暴、计划拆分、测试驱动开发、系统化调试和复核。它解决的不是“Claude 不会写代码”，而是“Claude 太快开始写代码”。
截至 2026 年 9 月 7 日，obra/superpowers 约有 28.27 万 Star，采用 MIT 许可证。它更新活跃，但方法论较强，会显著改变任务节奏；适合复杂需求，不适合每个小修改都套完整流程。
安装命令：
/plugin install superpowers@claude-plugins-official
7. claude-mem：为跨会话项目建立可检索记忆
claude-mem 会记录会话中的工具观察，生成压缩摘要，并在后续会话中检索相关背景。对持续数周的项目，这能减少每天重新解释架构决策的成本。
截至 2026 年 9 月 7 日，其官方仓库约有 9.34 万 Star，采用 Apache-2.0 许可证。
但“记得更多”也意味着“保存更多”。在企业代码、客户数据和敏感项目里，应先检查保存位置、保留周期、忽略规则与删除方式，再决定是否启用。
安装命令：
/plugin marketplace add thedotmack/claude-mem
/plugin install claude-mem
8. frontend-design：提高生成界面的视觉下限
这是 Anthropic 官方的前端设计 Skill，重点不是提供某个 UI 组件库，而是引导 Claude 做更清晰的层级、布局和视觉选择，减少千篇一律的默认页面。
它适合原型和缺少专职设计资源的小团队。对于已有 Design System 的产品，应把品牌规范、组件约束和无障碍要求放在它前面，避免“好看但不一致”。
安装命令：
/plugin install frontend-design@claude-plugins-official
9. skill-creator：把团队重复流程封装成自己的 Skill
当你已经反复写同一类提示词，例如发布检查、接口审计、迁移步骤或文章排版规则，skill-creator 可以帮助你把流程整理成结构化 Skill，并配套测试触发条件。
它的价值不是再造一个公共插件，而是把团队隐性经验变成可审查、可版本化的资产。创建出来的 Skill 仍需要人工阅读、最小权限设计和真实任务验证。
安装命令：
/plugin install skill-creator@claude-plugins-official
05
不要一次装满：按四步建立自己的插件栈
一套更稳妥的安装顺序是：
第一步，先安装 security-guidance 与 code-review，把风险发现和质量复核固定下来。
第二步，根据技术栈选择 Context7 和一个对应的 LSP 插件，解决外部文档与内部语义两个知识缺口。
第三步，只有在真实需要调试页面时，才接入 Chrome DevTools MCP，并使用隔离浏览器环境。
第四步，长周期项目再考虑 claude-mem；复杂交付加入 Superpowers；做 UI 时启用 frontend-design；重复流程稳定后再用 skill-creator 固化。
安装任何第三方插件前，至少检查四件事：来源仓库是否可信、最近是否维护、会执行哪些 Hook 或本地脚本、能读取哪些文件与凭据。Anthropic 官方文档明确提醒，插件和 Marketplace 可以在用户权限下执行任意代码。
插件的目标不是让 Claude 拥有更多按钮，而是让它在关键环节获得可靠信号：安全反馈、当前文档、真实类型、运行时状态和可复用流程。
真正值得保留的插件，应该能回答一个具体问题：它替你减少了哪一类错误？如果说不清，就先别装。
添加个人微信，进专属粉丝群！
