用途：在设计与架构阶段对系统做对抗性分析，枚举威胁并给出缓解措施，而非运行时测试或漏洞扫描。
主要能力：提供方法论（STRIDE、PASTA、攻击树、DREAD、LINDDUN、OCTAVE）、工作流（从 OpenAPI/AsyncAPI 生成逐交互 STRIDE 表、从架构文档生成威胁模型、创建 DFD、由威胁构建攻击树、威胁到缓解与控制映射）、控制目录参考（NIST CSF 2.0、NIST 800-53 Rev 5、CIS v8、OWASP ASVS v5、ISO 27001、PCI DSS v4）、示例库与报告模板。威胁按 schemas/finding.json 结构化输出，含 stride_category、trust_boundary、likelihood、impact、risk_score、dread_score、cwe、capec、mitre_attack、mitigations、control_mappings、residual_risk 等字段，可批量输出 JSONL。
使用方式：按决策树选择入口——有 OpenAPI/AsyncAPI 规范用 workflows/stride_from_openapi.md；有架构文档或图用 workflows/stride_from_arch_docs.md；需从零画 DFD 用 workflows/dfd_creation.md（输出 Mermaid）；已有高层威胁做深挖用 workflows/attack_tree_from_threat.md；需缓解与控制映射用 workflows/threat_to_mitigation.md。可并行拆分（按 STRIDE 类别、信任边界、子系统、攻击树分支、OpenAPI 标签），并需设合并代理去重与统一风险评分。
适用场景：新系统或重大架构变更的安全评审、隐私数据处理分析、面向审计方的威胁模型报告、既有威胁列表按风险排序。
限制：不用于运行时 API 测试与利用（用 api-security）、代码级漏洞发现（用 sast-orchestration）、容器镜像 CVE 扫描、云配置错误检查、活跃入侵响应，以及仅做合规差距分析。工具安装命令保持原样，如 npm install -g owasp-threat-dragon、npm install -g @mermaid-js/mermaid-cli、apt install graphviz、apt install plantuml。资料未提供具体收费与价格信息。