用途：接入并处理通过 TAXII 2.1 服务器分发的 STIX 2.1 威胁情报包，将对象规范化后路由到 TIP、SIEM 等消费平台。适用于新接入政府源（如 CISA AIS、FS-ISAC）或商业提供商的 TAXII 集合、导入前校验 STIX 2.1 合规性、以及构建解析关系对象以还原攻击活动上下文的自动化管道。不适用于需要厂商专用解析器的私有格式（如 Recorded Future JSON、CrowdStrike IOC 列表）。
主要能力：发现 TAXII 服务器集合；按 added_after 增量分页拉取 STIX 包；用 stix2 解析并校验 indicator 等对象的必填字段与 confidence 范围；按对象类型路由（indicator 到 SIEM 与防火墙黑名单、malware 到 EDR、threat-actor/campaign 到 TIP、course-of-action 到 SOAR）；依据 TLP 标记限制共享；并可将本地情报回写共享集合。
使用方式：需 Python 3.9+，安装 stix2 与 taxii2-client（pip install stix2），具备 TAXII 2.1 端点凭据及目标平台导入 API（MISP、OpenCTI、Splunk ES）。流程为发现集合、分页拉取、解析校验、路由分发、可选回写。
限制与注意：STIX 2.0 与 2.1 模式不兼容，解析前须检查 spec_version；TAXII 服务器单次响应上限 100–1000 对象，须处理分页以免静默丢数据；added_after 存在时钟偏差，应统一用 UTC 并加 5 分钟重叠窗口；避免以原始 JSON 存储导致无法按类型查询；自动化管道须在路由前过滤 TLP:RED 标记。具体收费、平台支持范围等资料暂未提供。