用途：面向内部 AI 工具项目，围绕鉴权、成本、日志与安全合规进行设计、验证和改进。适用于新项目搭建合规基础、部署前 P0 全量验证、RBAC 权限矩阵生成、既有代码审计、成本透明化、行为日志 schema 设计、基于角色的发布审批流程，以及构建规则注册表、证据收集器、验证引擎、风险评分器和门禁架构。
主要能力：提供三种执行模式。快速扫描（/compliance-scan、/compliance-quick、/quick）基于 Grep/Glob 静态分析，检测绕过网关的外部 API 调用、直接访问 Firestore、硬编码敏感数据、缺少 Guest 角色等，输出疑似违规的文件路径、行号与规则 ID，耗时约 1–3 分钟。完整验证（/compliance-verify、/compliance-full、/full）对 11 条 P0 规则逐条收集证据并判定通过/失败，按安全 40 分、鉴权 25 分、成本 20 分、日志 15 分计算总分（满分 100），给出部署门禁等级（Green/Yellow/Red）并生成基于角色的审批清单，输出 compliance-report.md，耗时约 5–15 分钟。改进模式（/compliance-improve、/improve）针对失败项给出代码级修复建议（文件路径与前后对比），应用后重新验证该规则并跟踪分数变化，P0 通过后引导逐步引入 P1 建议项。
P0 规则涵盖：新注册强制 Guest、阻断 Guest 菜单/API 访问、服务端最终鉴权、禁止直接访问 Firestore、强制外部 API 网关、服务端处理敏感文本、模型调用成本日志、BigQuery 扫描成本日志、缓存优先查询、失败请求强制日志、鉴权变更审计日志。验证基于 rules/p0-catalog.yaml 中的 check_pattern，采用 Grep/Glob 静态分析，判定逻辑为：无匹配则 N/A 不扣分；must_not_contain 命中即失败并记录证据；must_contain 全部满足为通过，部分满足为警告，未满足为失败。
使用方式：安装命令为 npx skills add https://github.com/supercent-io/skills-template --skill ai-tool-compliance。项目初始化使用 /compliance-init 生成 RBAC 矩阵、网关样板、日志 schema 与成本跟踪接口；评分检查使用 /compliance-score；部署门禁使用 /compliance-gate。
限制：资料未提供具体收费、价格、平台支持范围与效果保证；验证依赖静态代码模式匹配，可能无法覆盖运行时行为；P0 规则与评分权重基于内部指南 v1.1，其他项目需自行调整。