用途：这是一个安全运营分诊地图，帮助在安全审查、威胁建模、合规和事件响应中快速找到合适的审查视角，再查阅权威标准获取实现细节。
主要能力：涵盖零信任原则（NIST SP 800-207，强调以资源为中心、按会话授权、持续评估、最小权限、假设失陷）；SLSA 1.2 供应链分级（Build L0-L3 与 Source L1-L3，旧版单一 1-4 框架已退役，Build L4、封闭构建、可复现构建属未来方向）；STRIDE 威胁建模（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升及对应缓解）；OWASP Top 10:2025 清单（A01 访问控制失效至 A10 异常条件处理不当）；密钥管理（禁止提交密钥，使用环境注入、External Secrets Operator、Vault、云原生密钥管理器，CI 中用 gitleaks 或 trufflehog 扫描）；供应链安全（用 Syft 生成 SBOM：syft packages dir:. -o spdx-json；用 Grype 扫描：grype sbom:sbom.spdx.json --fail-on high；用 Trivy 扫描镜像：trivy image <image> --severity HIGH,CRITICAL；使用 distroless/Chainguard 基础镜像）；事件响应（NIST SP 800-61 Rev. 3 映射到 CSF 2.0 生命周期：治理、识别、保护、检测、响应、恢复）；合规框架（SOC 2 Type II、ISO 27001、HIPAA、GDPR、PCI DSS，可用 Vanta 或 Drata 持续监控与自动取证）。
使用方式：在安全审查、威胁建模、合规或事件响应任务中激活，按检查清单逐项核对，并查阅对应权威标准。
限制：不构成法律或合规建议；不能替代最新的 OWASP、NIST、SLSA 或特定框架文档；不是渗透测试方法论；在受监管环境中若无组织特定控制则不够充分。避免将 OWASP Top 10 当作完整审计、空谈“零信任合规”、把 SBOM 等同于供应链安全、合并后才做安全审查、忽视恢复路径等反模式。