00｜Plugin 是什麼、marketplace 怎麼運作
🎯 一句話：Plugin 是 Skill／Command／Agent／Hook 的打包單位，marketplace 是官方維護的「plugin 型錄」，一行指令就能裝進 Claude Code。
如果還不知道 Skill 是什麼，先看 07｜什麼是 Skill？。Skill 是「一個能力」，Plugin 是「一包能力」——可以只裝一個 Skill，也可以是 Skill + Command + Agent + Hook 的組合包。
官方 marketplace：claude-plugins-official
- Repo：anthropics/claude-plugins-official
- 定位：Anthropic 維護的「Claude Code 擴充功能目錄」，收錄開發工具、生產力工具、MCP 整合
- 規模：
.claude-plugin/marketplace.json目前登記 273 個 plugin，其中 38 個是內建（原始碼放在這個 repo 的plugins/目錄），其餘 ~235 個是外部連結（指向第三方 repo，如 42Crunch、Adobe、Salesforce）
marketplace.json 怎麼描述一個 plugin
每筆條目至少有 name、description、author、category、source、homepage。source 決定它是哪一種：
| 類型 | source 長相 | 說明 |
|---|---|---|
| 內建 | "./plugins/{name}" | 原始碼就在這個 repo，有自己的 .claude-plugin/plugin.json |
| 外部 | {source: "git-subdir"|"url", url, path, ref, sha} | 指向別的 repo，釘住特定 git ref/sha，不會因上游改版而突然變動 |
還有一個 renames 對照表，處理 plugin 改名後的相容性（例如 "adlc": "agentforce-adlc"）。name 是不可變 ID——改了會讓既有安裝失效，要改顯示名稱請用 displayName。
沒有 plugin manifest、只是單純的 Skill 集合的 repo，也能靠 "strict": false + 明確列出 skill 路徑陣列加入 marketplace；每個 Skill 會註冊成 {plugin-name}:{skill-name}。
安裝方式
/plugin install {plugin-name}@claude-plugins-official
或透過 Claude Code 內建的 discovery UI 瀏覽安裝。第三方要把自己的 plugin 送進 marketplace，走官方提供的送審表單。
:::caution 官方明講：不驗證內容 Anthropic 在文件裡明確聲明不會驗證外部 plugin 裡的 MCP server 或檔案內容——「裝之前自己判斷信不信得過」。內建的 38 個沒有這個疑慮，但外部連結的 ~235 個，等同於「型錄有登記，但貨是別人出的」。 :::
38 個內建 plugin 分類導覽
語言伺服器（LSP）—— 12 個
clangd-lsp、csharp-lsp、gopls-lsp、jdtls-lsp、kotlin-lsp、lua-lsp、php-lsp、pyright-lsp、ruby-lsp、rust-analyzer-lsp、swift-lsp、typescript-lsp——每個對應一種語言的程式碼智能（跳轉定義、補全、診斷），需要各自的 language server 二進位檔。
開發流程
| Plugin | 特性 |
|---|---|
| feature-dev | 完整功能開發流程，配探索、架構設計、品質審查的專職 agent |
| code-review | 多 agent 自動 PR 審查，用信心分數過濾誤報 |
| pr-review-toolkit | 更細的 PR 審查 agent 群：留言、測試、錯誤處理、型別設計、程式碼品質、簡化 |
| code-simplifier | 針對剛改過的程式碼做簡化與精煉，同時保持行為不變 |
| code-modernization | COBOL、舊版 Java/C++、monolith 現代化的結構化流程（preflight → assess → map → extract-rules → brief → reimagine → transform → harden），附拓樸視覺化與 reviewer agent |
| commit-commands | Git commit／push／建 PR 的指令集 |
| ralph-loop | 「Ralph Wiggum 技巧」：Claude 重複做同一件事，每次都看得到之前的成果，直到做完 |
安全與品質
| Plugin | 特性 |
|---|---|
| claude-security | 在 session 內跑的深度漏洞掃描，findings 先被 agent 團隊挑戰過才回報，驗證過的會直接變成修補 |
| security-guidance | 編輯時的 pattern 警告、Stop 時的 LLM diff 審查、agentic commit reviewer，涵蓋 injection／XSS／SSRF／secrets 等 25+ 類漏洞 |
平台與基礎設施
| Plugin | 特性 |
|---|---|
| claude-code-setup | 分析現有 codebase，推薦客製化的 hooks／skills／MCP servers／subagents |
| claude-md-management | 稽核並改善 CLAUDE.md，把 session 中學到的東西寫回去 |
| plugin-dev | 建構／驗證 Claude Code plugin 的工具箱（7 個專家 Skill） |
| skill-creator | 建立／改進／評測／benchmark Skill |
| mcp-server-dev | 設計並建構 MCP server 的 Skill 集（涵蓋 remote HTTP、MCPB、local 三種部署模式） |
| mcp-tunnels | /create-docker-mcp-tunnel 建立到私有 server 的 MCP tunnel（憑證、proxy、cloudflared、範例 server） |
| agent-sdk-dev | Claude Agent SDK 的開發工具包 |
產出與報告
| Plugin | 特性 |
|---|---|
| frontend-design | 產出有辨識度、不落俗套的正式前端 UI 程式碼 |
| playground | 產生自成一體的互動式 HTML playground（design／data-explorer／concept-map 樣板） |
| project-artifact | 產生並發布「即時專案狀態頁」claude.ai artifact，隨最新狀態刷新 |
| receipts | 個人 Claude Code 使用量／影響力報告（讀本機 ~/.claude/projects transcript + 本機 git，只有數字與專案名離開機器） |
| session-report | 單一 session 的可互動 HTML 報告（tokens、cache 效率、subagent、Skill、最貴的 prompt） |
其他
| Plugin | 特性 |
|---|---|
| hookify | 從 markdown 規則建立自訂 hook，防止不想要的 agent 行為 |
| math-olympiad | 競賽數學解題（IMO／Putnam／USAMO），用對抗式、全新 context 的證明驗證 |
| explanatory-output-style / learning-output-style | 重現已棄用的「Explanatory」／未上線的「Learning」輸出風格 |
| cwc-makers | 一鍵設定「Code-with-Claude Makers Cardputer」硬體裝置（燒錄韌體、裝 Claude Buddy app） |
值得抄的三件事
name不可變、displayName才是給人看的——ID 穩定性比好聽重要，改名要走相容表而不是直接改 ID。- 釘住 ref/sha 而不是追蹤最新版——外部 plugin 的更新是「有人主動 bump」，不是自動跟上游走，避免上游一改就炸。
- 官方明講「不驗證外部內容」——marketplace 的信任模型是分層的：內建 38 個 Anthropic 自己維護，其餘是型錄式收錄，裝之前自己評估。