NIST SP 800-218 把软件开发全流程的安全要求收成一张清单——从需求到维护每个阶段该做什么。本文覆盖 SSDF 定位、设计哲学、16 项实践清单、实施指南，以及与国标 GB/T、ISO 27001 的对照、NIST 官方工具与配套参考标准。附 SSDF 与 SDLC 的关系图。

本次运行真实可调用工具共 21 个，分 8 大类（文件/Shell/定时/网关/会话/记忆/网络/基础设施），并列出与 OpenClaw 2026.7.1 官方全量对比的 15 个被策略过滤工具，以及邮件/标准库/信息库等服务的接入方式。数据来源以本次会话真实 schema 为准。

2026 年 3 月，腾讯云推出了 WorkBuddy——不是又一个聊天机器人，而是一个能直接在你电脑里干活的 AI 同事。上线三个月，月访问量 2097 万次，登顶中国桌面端 AI 办公智能体市场。

退潮论回答'OpenClaw 到底行不行'，这篇工具篇回答另一个问题：在它行得下去的场景里，它的手能伸多长。

“OpenClaw 不行了”这句话如果问的是流量还能不能暴涨，答案是“不行了”。但 39 万 Star 仍在涨、9 月以来 8 个版本仍有约 350 位贡献者、投中网 5/21 报道里写的是“下限很低，上限其实很高”。3 月的虾是大众玩具，9 月的虾是技术工具。本文拆流量退潮、谁离开了又为什么走、留下来的精尖技术人群、为什么它换不掉（开源/可自改/数据自主）、版本与功能线，回答“到底行不行”。

LLM 应用的成本核算方法。按 Token 计费、成本归因、单位经济三层展开，给出各层所需表格与公式，并梳理优化杠杆与治理要点，供核算成本毛利。