用途：在实现或批准安全敏感变更之前使用，对产品功能、API、数据流、密钥、权限、供应链变更、认证边界和高风险代码路径进行威胁建模。它与 auth-security 和 server-security 互补，通过映射资产、攻击者、信任边界和具体控制措施来工作。
范围界定：需识别资产（凭据、令牌、用户数据、租户数据、资金流动、管理操作）、参与者（匿名用户、已认证用户、租户管理员、内部操作员、被攻陷的依赖）、信任边界（浏览器/服务器、服务/服务、租户/租户、CI/运行时、第三方回调）、入口点（API 路由、CLI 命令、任务、Webhook、上传、配置文件）以及现有控制（校验、授权、速率限制、审计日志、密钥存储）。
威胁清单：至少检查欺骗（身份、租户、回调或服务能否被伪造）、篡改（载荷、配置、迁移、制品或日志能否被改动）、抵赖（敏感操作是否有审计轨迹）、信息泄露（密钥、PII、日志或租户数据能否泄漏）、拒绝服务（昂贵路径能否被放大）、权限提升（用户或服务权限能否扩张）、供应链（依赖、脚本、CI 或生成文件能否引入风险）。
必需控制：每项发现需具备以下之一：生产代码中的预防性控制、带告警的检测性控制、有负责人和有效期的补偿性人工控制、或带理由的明确接受风险。对于授权、密钥、租户隔离、注入或支付/安全关键故障，不得接受“警告并继续”。
输出结构：scope、assets、trust_boundaries、entry_points、threats、required_controls、tests_or_probes、residual_risks、review_gate。对于实现工作，需包含确切文件和验证命令，以证明控制措施已生效。
限制：资料未提供具体安装命令、平台支持、收费方式或效果数据。