用途：LINDDUN 是由 KU Leuven DistriNet 研究组提出的系统化隐私威胁建模方法，用于在软件系统中通过数据流图（DFD）分析和威胁树目录识别隐私威胁，与侧重安全属性的 STRIDE 互补。
七类威胁：Linking（关联）、Identifying（识别）、Non-repudiation（不可否认）、Detecting（检测）、Data Disclosure（数据披露）、Unawareness（无感知）、Non-compliance（不合规）。每类包含定义、适用 DFD 元素、示例、威胁树条目与缓解措施，例如差分隐私、假名化、k-匿名、TLS 1.3、字段级加密、分层隐私声明、同意管理等。
流程：共六步——定义系统范围并绘制 DFD；将威胁类别映射到 DFD 元素；借助威胁树引出具体威胁并记录威胁编号、类别、元素、描述、可能性与影响评分；按风险分（可能性×影响）排序，阈值 1-6 接受、7-12 六个月内缓解、13-19 三个月内缓解、20-25 立即缓解；选择缓解措施并明确责任团队；验证缓解效果并更新 DFD、重估残余风险。
适用场景：隐私影响评估、GDPR 第 25 条数据保护设计与默认、第 35 条 DPIA、第 32 条处理安全等合规工作，适合隐私工程师、安全团队与合规人员。
限制：资料未提供具体安装命令、脚本或自动化工具用法；工具本身不替代法律意见，评分阈值与缓解时限需结合组织实际情况调整。