1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | manage-firewall-microsoft-power-platform-skills |
| 作者/维护者 | Microsoft（Power Platform 团队） |
| 来源链接 | https://github.com/microsoft/power-platform-skills/tree/main/plugins/power-pages/skills/manage-firewall |
| 许可证 | MIT（GitHub API 获取） |
| GitHub Stars | 569（GitHub API 获取；此为合集仓库整体数字，不代表本技能自身热度） |
| Forks | 117（GitHub API 获取） |
| 最新版本 | power-pages 插件 v2.6.3（插件 manifest 获取） |
| 安装方式 | Claude Code / GitHub Copilot CLI 会话内执行 /plugin marketplace add microsoft/power-platform-skills 后 /plugin install power-pages@power-platform-skills |
2. 功能介绍与亮点
manage-firewall 是 Power Pages 官方插件内针对**已部署生产站点 Web 应用防火墙（WAF）**的检测与配置技能：
- 状态优先检测：任何操作前先查询防火墙状态，仅当状态为“已启用”时才继续读取具体规则，避免对未启用防火墙的站点发起无效调用。
- 大白话交互：SKILL.md 明确禁止对用户使用 WAF、OWASP、ModSec、地理封锁、限流等专业术语，改用日常语言描述风险与操作。
- 逐次消费确认门禁：每一次启用/禁用/新增/修改/删除规则都单独触发一次确认，展示即将生效的具体配置，不批量静默套用。
- 冲突与优先级校验：新增规则前自动核对与既有规则的优先级冲突、匹配条件重叠、允许/拦截矛盾，并按“先匹配先生效”规则解释结果。
- 只收紧不放宽：明确规定不得主动建议禁用防火墙、移除托管规则或削弱现有规则，用户主动提出才处理。
- 只读复查模式：支持
--review <out-dir>参数仅生成发现清单不做改动，也是姊妹技能/security-review编排的六大安全检查模块之一。
3. 适用场景
固定分类：安全与合规。适合已用该插件把 Power Pages 代码站点部署到生产环境、需要开启或调整 WAF 防火墙规则（按 IP/国家/路径拦截、登录页限流等）但不具备安全术语知识的开发者，尤其适合独立开发者与中小团队。
4. 跨 Agent 兼容性
- Claude Code：原生支持。SKILL.md 以标准 Agent Skills 规范分发，声明
model: opus，Microsoft Learn 官方教程页面专门以 Claude Code 为对象给出完整安装步骤，并明确列出/manage-firewall命令的用途说明。 - Codex：未验证——已抓取材料未提及。
- OpenClaw：未验证——已抓取材料未提及。
- Hermes Agent：未验证——已抓取材料未提及。
（另注：官方同时原生支持 GitHub Copilot CLI，但其不属于本报告评估的四个目标生态。）
5. 推荐理由
把 Web 应用防火墙的检测、规则管理与故障排查，变成大白话解释、逐次消费确认、且不会主动建议削弱防护的引导式流程，让不具备安全术语知识的开发者也能正确处理 IP 封锁、地域限制、登录页限流这类容易配错的网络边缘防护设置。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 7 | 官方 Microsoft Power Platform 团队出品，所属仓库 569 stars / 117 forks；Microsoft Learn 官方教程页面明确列出 /manage-firewall 命令；该子技能自身在 GitHub issue/PR 搜索中未见独立第三方讨论，仅有内部团队提交记录 |
| 可用性 | 7 | SKILL.md 文档详尽（306 行，含完整前置检查、状态分支逻辑与多条“避坑指南”），但要求 Power Pages 站点已部署到生产环境且所在区域支持该功能为前提，规则生效还有最长 1 小时边缘传播延迟；子目录近约 5 周内（2026-06-19）仍有功能提交，所属仓库当日仍在持续更新 |
| 安全性 | 8 | 见下方检查清单 |
安全检查清单：
① 权限范围：通过 Bash 调用插件自带 Node 脚本读写防火墙状态与规则，不执行任意用户提供的 shell 命令；启用/禁用/增删规则等写操作均限定在逐次用户确认后才执行。 ② 运行时联网：脚本调用 Microsoft 自有的 Power Platform 管理 API 完成状态查询与规则读写，未见向第三方地址外发数据。 ③ 凭据处理：依赖用户既有的 PAC CLI / Azure CLI 认证会话，不单独收集或存储凭据。 ④ 可疑指令：SKILL.md 未见混淆代码或隐蔽外发指令，反而设有“禁止使用专业术语”“不得主动建议削弱防护”等明确护栏。 ⑤ 作者信誉：Microsoft 官方仓库，子目录三次提交（2026-05-26 新增、2026-06-12、2026-06-19）均为真实署名员工。 ⑥ License：MIT，明确。 ⑦ 维护时间：最近一次提交 2026-06-19，距今约 5 周，仓库整体几乎每日更新。
综合：官方出品、完全开源可审计，改动前逐次征求用户同意且明确规定不主动削弱现有防护，判 8 分（较纯只读扫描类姊妹技能低 1 分，因本技能会直接对生产环境防火墙下发写操作）。
7. 跟同类 Skills 相比的优势
| 项目 | 定位 | 差异化 |
|---|---|---|
| manage-firewall（本技能） | 检测并配置 Power Pages 生产站点的 WAF 防火墙（IP/国家/路径封锁、限流），大白话解释、逐次确认后下发变更 | 内置状态优先检测、规则冲突校验与故障排查知识，能直接生成并下发可用配置，而非仅诊断 |
| Power Pages 管理中心原生 WAF 配置界面（官方内置） | 在 Web 管理后台手动点选启用防火墙、新增/编辑规则 | 需要人工在图形界面逐项操作、自行理解 OWASP/ModSec 等术语与规则优先级机制，无自然语言交互、无自动冲突检测 |
| manage-headers（同插件姊妹技能） | 检查并配置 Power Pages 站点的浏览器安全响应头（CSP/CORS/Cookie） | 覆盖浏览器端响应头这一不同安全层次，与 manage-firewall 覆盖的网络边缘拦截层互补而非重叠 |
8. 用户评价
该技能目前在第三方平台与 GitHub issue 讨论区均尚无具名用户评价。
9. 其他补充
manage-firewall 同时是 /security-review 编排的六大安全检查模块之一，也可单独运行处理具体的防火墙启用、规则新增或故障排查需求。
10. 安装使用方式
在 Claude Code 或 GitHub Copilot CLI 会话内依次执行：
/plugin marketplace add microsoft/power-platform-skills
/plugin install power-pages@power-platform-skills使用前站点需已通过 /deploy-site 完成部署并上线到生产环境。安装完成后，在对应项目中直接说“帮我开启防火墙”“按国家封锁流量”“给登录页加限流”等，或运行 /manage-firewall 触发；也可加 --review <out-dir> 参数仅生成发现清单不做改动。安装/更新后需重启 Agent 才能以斜杠命令形式使用，插件市场支持自动更新。
11. 注意事项
- 该防火墙功能仅生产环境部分受支持区域可用，非生产站点或不支持的区域无法使用。
- 规则变更后有最长 1 小时的边缘传播延迟，不会立即生效。
- 禁用防火墙或移除规则会立即降低站点防护水平，技能本身不会主动提出此类操作，但用户主动要求时仍会执行，需自行评估风险。
- 尚无法确认在 Codex / OpenClaw / Hermes Agent 上的兼容情况。
- 目前在第三方平台与 GitHub issue 讨论区均缺乏独立用户评价，长期可靠性有待观察。