用途：当工作需要对安全目标、可测试性、追溯链接、验收条件和证据缺口进行证据受限的分析时使用本技能。输入不完整但一份带假设与缺口的可评审草稿仍有价值时也适用；同时要求静态安全证据与计划中的验证、已完成的执行保持分离。
主要能力：读取 prompts/security-requirement-review.md，按其输入审计、覆盖清单和输出契约执行；提取范围、环境、版本、角色、数据、依赖、约束与可用证据；对安全目标、可测试性、追溯链接、验收条件和证据缺口建模，区分已知事实、推断与候选验证；为每项记录影响、优先级、负责人角色、关闭条件和验证方法。默认以 Markdown 按安全风险、证据和优先级组织输出；用户要求表格、CSV、JSON 或工单格式时保留相同字段与证据状态，接入自动化前需确认 schema、枚举值和必填字段。
领域执行要点：映射资产→威胁行为者/路径→安全义务→控制→可验证验收，保留范围、来源和项目提供的标准/版本，不选择未提供的合规基线；交付义务/验收/证据映射与可测试性缺口，草拟需求仍为提案而非已批准义务。
限制：仅分析安全目标、可测试性、追溯链接、验收条件和证据缺口；不登录、不调用真实 API、不读取凭据。不得编造漏洞、利用成功、修复完成、扫描覆盖或安全通过结论；无支撑证据标记为待定、阻塞或未评估，并提供隔离的验证方法。风险接受、例外授权和发布判断交由人工。常见误区包括把宽泛安全审查或 API 契约检查当作本技能的替代、只列攻击名称而无适用性/证据/预期结果/关闭条件、在输入不完整时宣称系统安全。评估时可读取 evals/eval.yaml 及匹配的 evals/cases/；references/、examples/、scripts/ 或 output-formats.md 仅在目录存在且任务需要时读取。