用途：OWASP Threat Dragon 是开源威胁建模工具，供安全团队与开发者创建威胁模型图、按既定方法识别威胁并生成报告，可用于安全评估、审计与安全设计评审。它同时提供网页应用与桌面应用（Windows、macOS、Linux），支持分布式团队协作；2.x 版本提供拖拽式绘图、威胁与缓解措施的自动生成规则引擎，以及 PDF 报告输出，便于文档化与 GRC 合规。
主要能力：支持 STRIDE 与 LINDDUN 等方法。STRIDE 包含仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升；LINDDUN 面向隐私，包含可关联性、可识别性、不可否认性、可检测性、披露、无意识、不合规。数据流图元素包括流程、数据存储、外部实体、数据流和信任边界。规则引擎会依元素类型自动建议威胁，可标记为已缓解、不适用或待处理（赋优先级与负责人）。报告含执行摘要、带注释的数据流图、威胁清单与严重度、缓解状态与建议、合规映射。文件为 JSON 格式，便于版本控制，并支持 CycloneDX TMBOM 导出以避免厂商锁定。
使用方式：桌面版从发布页下载 .exe、.dmg 或 .AppImage/.deb/.rpm 安装；Docker 方式示例：
docker run -p 3000:3000
-e ENCRYPTION_JWT_SIGNING_KEY=$(openssl rand -hex 32)
-e ENCRYPTION_JWT_REFRESH_SIGNING_KEY=$(openssl rand -hex 32)
-e ENCRYPTION_KEYS='[{"isPrimary":true,"id":0,"value":"'$(openssl rand -hex 16)'"}]'
-e NODE_ENV=production
owasp/threat-dragon:latest
流程为：安装、定义范围（系统描述、资产、外部依赖、合规要求、信任边界）、创建数据流图、识别威胁、定义缓解措施、生成报告、集成进 SDLC。
适用场景与限制：适合设计阶段建模、架构变更时更新、安全设计评审与安全验收标准引用。需要理解 DFD 记法与 STRIDE/LINDDUN 分类，并具备架构文档和网络图。资料未提供价格、官方许可条款及具体平台版本细节，暂未提供。