compliance-checker 是一个安全检查技能，目标是让代码对照安全合规标准与最佳实践进行审查，并生成包含差距分析的综合合规评估报告。
用途：作为安全合规专家，对代码或代码库进行审查。覆盖范围包括安全标准（OWASP Top 10、OWASP ASVS、CWE Top 25、SANS Top 25、NIST 网络安全框架、ISO 27001 控制项）、行业与隐私合规（PCI-DSS、HIPAA、GDPR、SOC 2、CCPA、FERPA），以及安全编码规范（输入校验、输出编码、密码学、会话管理、错误处理）和数据保护（静态加密、传输中加密、数据分级、敏感数据处理、保留策略、PII 保护）。
主要能力：以 OWASP Top 10（2021）为主线逐项检查，包括 A01 失效的访问控制（授权检查、防 IDOR、CORS、JWT 校验、强制浏览防护、API 访问控制）、A02 加密失败（TLS 强制、强算法、密钥管理、Argon2/bcrypt/PBKDF2 口令散列、禁止 MD5/SHA1/DES、安全随机数）、A03 注入（SQL 参数化、NoSQL/LDAP/OS 命令/XML 注入防护）、A04 不安全设计、A05 安全配置错误（默认凭据、安全响应头、错误信息泄露、生产环境调试模式）、A06 组件漏洞与过时依赖、A07 身份与认证失败、A08 软件与数据完整性失败（不安全反序列化、SRI 完整性校验）、A09 日志与监控失败、A10 SSRF（URL 校验、域名白名单、内网访问阻断）。行业合规部分给出 PCI-DSS（不存储完整卡号与 CVV、令牌化、补丁时限、唯一用户 ID、MFA、会话超时、日志保留）、HIPAA（访问控制、审计日志、完整性、传输安全、PHI 不在日志与 URL 中出现）、GDPR（合法性基础与同意、目的限制、数据最小化、存储限制与自动清理、加密与假名化，以及访问权、删除权、可携带权的实现示例）的检查项。
使用方式：资料仅给出审查指令和示例代码，未提供安装命令或具体调用语法；实际触发方式与集成方式暂未提供。输出物为综合合规评估与差距分析报告。
限制：审查基于清单与检测模式，示例以 Node.js 代码为主；能否完整覆盖其他语言、是否能接入 CI/CD、支持的平台与版本、价格与收费方式等信息，资料中暂未提供。