用途：审查敏感数据分类、加密存储、返回/日志脱敏、传输完整性、备份与等保/密评证据，适用于处理手机号、身份证、银行卡、住址等字段或询问脱敏、KMS、SM2/SM3/SM4、等保、密评的场景。
主要能力：
- 明文存储检查：身份证号、手机号、住址、银行卡等隐私字段禁止明文入库，建议框架层自动加解密，优先国密 SM4 存储加密、SM2 非对称与密钥交换、SM3 摘要签名，密钥集中管理（配置中心/KMS），不得与密文同库存放。
- 信息泄露检查：返回脱敏（手机号 1385678、身份证 3301*****1234、姓名 张三），低权限用户不可越权，日志禁止输出完整敏感字段。
- 登录与接口控制：单设备登录、异常登录检测、接口鉴权注解。
- 文件上传：前端白名单、后端类型与大小限制、Nginx client_max_body_size；接口鉴权与上传边界交由 codeguard-security-api 技能，安装：npx skills add full-stack-skills/codeguard-skills --skill codeguard-security-api。
- 等保密评：等保分 5 级、密评对象为关基及等保三级以上系统，三级以上、关基、密评每年至少评估一次。
使用方式：标准 Workflow 为数据发现与分级、跟踪生命周期、设计密码边界、实施脱敏和最小化、产出可审计证据。按需读取 references/rules/decision-contract.md 与 references/operations/evidence-playbook.md，仅打开匹配当前生命周期的 examples/ 示例。
限制：不适用于主要问题为 API 鉴权、文件上传或依赖 CVE 的场景；仅有算法名称而缺少数据分类、密钥托管、威胁模型与监管范围时不适用；不得用真实个人数据、生产密钥或明文密文对演示。哈希不等于加密，确定性加密会泄露相等关系，密钥轮换需版本字段与迁移路径，备份导出需独立加密策略，测试应使用合成数据。等保/密评是证据体系，单一代码片段或算法选择不能证明合规。