用途：对 AI 项目代码仓库做中国法规合规自查，覆盖网安法、PIPL、等保2.0、数据出境、AI 生成内容标识等方向，产出可逐条打开文件核对的记录，而非泛泛报告。
主要能力：先用确定性工具做基线扫描，再人工读代码梳理数据流，逐项对 14 个控制项取证，结论分为 gap、met、needs_human、not_applicable、rejected 五类；每条 gap/met 需经独立复核，最后用校验器核对文件行号、原文引用、是否泄漏密钥及 14 项全覆盖，并渲染报告。
使用方式：在项目根目录运行 npx -y shellward@latest scan . --json > .compliance/baseline.json（只读、不上传，需 Node 与网络）；随后按流程写 .compliance/architecture.md 与 .compliance/compliance-findings.json，再运行 node <本skill目录>/scripts/validate-findings.mjs .compliance/compliance-findings.json --root . --report .compliance/COMPLIANCE-REPORT.md 校验。
适用场景：上线前合规自查、判断是否涉及数据出境、检查日志与权限措施等。
限制：属技术自查，不构成法律意见；备案、等保定级、PIA 等主体责任只能提问不能替代；仓库外事实记为 needs_human；不得把被审计代码或数据发往外部服务；法规条款编号以 controls.json 为准。