用途：根据目标安全框架生成结构化合规报告，支持 PCI DSS、HIPAA、SOC 2、GDPR、ISO 27001 及自定义框架。适用于需要创建合规文档、评估合规状态的场景，触发语如“generate compliance report”。
主要能力：
- 确定目标框架并枚举控制要求，如 PCI DSS 的 12 项要求及子控制、HIPAA 的管理/物理/技术保障、SOC 2 的信任服务准则 CC1-CC9。
- 扫描代码库寻找控制实施证据：静态与传输加密（TLS 配置、数据库加密）、访问控制（RBAC 定义、IAM 策略）、日志与监控（审计日志配置、SIEM 集成）、数据保留策略。
- 将每项控制评为 Compliant、Partially Compliant、Non-Compliant 或 Not Applicable，并记录证据文件路径与行号。
- 对部分合规或不合规项描述具体差距、风险及修复要求。
- 计算总体合规分数（完全合规的适用控制百分比）。
- 生成报告，包含执行摘要、范围与方法、逐项控制评估、差距分析、风险评级、含优先级与工作量估算的修复路线图、证据附录。
- 通过 Write 工具将报告写入 ${CLAUDE_SKILL_DIR}/compliance-report-[framework]-[date].md。
- 如适用，依据 ${CLAUDE_SKILL_DIR}/references/README.md 中的配置模式验证报告。
使用方式：需要访问目标代码库、基础设施配置和 ${CLAUDE_SKILL_DIR}/ 中的策略文件；需了解目标框架及适用范围；依赖标准 shell 工具和 Grep/Glob 收集证据。参考 ${CLAUDE_SKILL_DIR}/references/README.md 获取 PCI DSS 指南、HIPAA 清单、SOC 2 框架概述、配置模式和 API 文档。输出包括合规报告、合规分数、差距分析、证据索引和修复路线图。
限制与错误处理：未知框架需手动映射或选最接近标准；证据不足标记为“Evidence Not Available”并建议补充文档；多版本混合需明确目标版本；大型代码库扫描超时可缩小范围排除生成代码；证据冲突标记为部分合规并建议标准化。具体控制细节和评分权重暂未提供。