用途：该技能面向 Recovery Coach 类应用，在开发涉及受保护健康信息（PHI）的功能时帮助维持 HIPAA 合规。资料将签到情绪/渴求、日志条目、聊天记录、用户资料、戒断日期、紧急联系人列为 PHI，需审计所有访问或修改；聚合使用分析和无内容页面浏览不属于 PHI。
主要能力：提供审计日志工具（src/lib/hipaa/audit.ts），包含 logPHIAccess、logPHIModification、logSecurityEvent、logAdminAction；要求记录查看、创建/更新/删除 PHI、导出用户数据、管理员访问、失败认证与安全事件。日志只记录 ID 与元数据，禁止写入 PHI 内容；系统会自动脱敏 password、token、secret、key、authorization、cookie、session、credential、content、message、notes 等字段。会话安全要求：15 分钟无活动超时、最长 8 小时、5 次失败登录锁定 30 分钟、密码 12 位以上且含大小写、数字与特殊字符。
使用方式：在 API 路由或组件中调用上述审计函数，例如查看 PHI 时调用 logPHIAccess(userId, 'checkin', checkinId, AuditAction.PHI_VIEW)；修改时调用 logPHIModification 并只传元数据。紧急情况可使用 requestBreakGlassAccess，需书面理由、永久审计记录、通知合规官并在 24 小时内复核。
适用场景与限制：适用于开发、审查或上线涉及 PHI 的功能。审计日志最低保留 6 年，原始日志保留 1 年后再压缩，存放于 audit_log 表，导出需加密。资料未提供具体安装命令、收费、价格或平台信息。