用途：在功能、集成、服务、API、租户边界、AI能力或发布的设计与实现早期，回答“如何安全地构建”，把安全前置到决策中。它是预防性工作流，不宣称设计或发布已安全，需记录假设、证据、残余风险及例外责任人。
主要能力：需求阶段识别资产、参与者、危害、数据分类与合规约束，先写可测试的验收标准；威胁建模阶段绘制数据流与信任边界，列出滥用场景、缓解措施与残余风险，STRIDE仅作可选词汇；设计阶段选择契合信任模型的控制，含服务端授权、数据隔离、安全失败行为与AI能力边界，并说明被否决方案；实现阶段让每个边界在代码与配置中可执行，保护输入、输出、凭据、依赖、日志与运维路径；评审与发布阶段用直接证据验证控制、检查绕过、保留发布证据，并把事件反馈到需求与测试。证据与假设冲突或设计变更时回到受影响阶段。
使用方式：按需加载参考文件，如安全需求与威胁建模、认证授权、输入校验与数据处理、密钥生命周期、依赖供应链、安全日志审计、多租户隔离、安全代码评审、发布证据、事件学习、AI/LLM安全；模板含轻量威胁模型、安全验收标准、安全代码评审清单。
适用场景：新功能或系统的安全设计、租户隔离控制、AI/LLM与RAG集成、发布前安全评审门。
限制：不用于构建后的授权评估（用security-audit-methodology），不替代漏洞扫描；多租户端到端架构、容量成本、隐私生命周期分别由其他技能负责。框架、扫描、SBOM、签名或清单只是有限证据，不等于软件安全。控制不可通用化，需在实际部署中验证。威胁模型与验收标准若暴露边界或弱点应保密，用占位符而非真实凭据。使用宿主环境常规机制创建产物、运行测试与获取批准，不假设特定厂商、云、身份提供商、数据库、CI或部署拓扑。