用途：在实现之前增强 PRD、功能规格、用户故事或产品简报，使每个功能都带有明确、可测试的安全需求，对齐 OWASP ASVS，并按 FIASSE v1.0.4 / SSEM 塑造。目标是让交付团队按设计构建可安全化的能力，而非事后补控制。该技能以需求为中心，不审查或编写代码；代码审查应转向 securability-engineering-review，代码生成应转向 securability-engineering。
主要能力：解析功能并规范化记录（功能 ID、角色、涉及数据与敏感级别、跨越的信任边界、现有验收标准）；先选定 ASVS 等级（1/2/3，默认 2）并说明理由与功能级升级；将每个功能映射到 ASVS 章节（如 V2 认证、V4 访问控制、V5 文件处理、V6 密码学、V12 输入校验等），并按等级过滤，标注 Covered/Partial/Missing/N/A；为每个功能撰写简短 Securability Notes，仅涉及相关的 SSEM 与 FIASSE 要点；把新增或强化需求转成可观察、可测试的验收标准；最后输出增强后的 PRD 工件。
使用方式：先向用户索取缺失输入（PRD/规格/功能列表、系统上下文、合规或风险背景、ASVS 等级偏好），大型工件可直接内联解析。随后按步骤执行：解析功能、先定 ASVS 等级、逐功能映射 ASVS、添加 Securability Notes、转换为可测试验收标准、按模板输出。输出包含 ASVS 等级决策、功能↔ASVS 覆盖矩阵、增强功能规格、跨领域安全需求、未决缺口与假设。资料还提供“覆盖缺口模式表”，列出 PRD 常漏的需求（如登录、密码重置、文件上传、资料编辑、管理权限、公开 API、外发消息、搜索、Webhook、导出、后台任务、配置、敏感数据、流式、AI/LLM 功能等）。
适用场景：强化或加固 PRD/规格/用户故事集；为产品或功能选择 ASVS 保证等级；将功能映射到 ASVS 控制项或检查覆盖；在开发前发现缺失的安全需求；为功能标注 SSEM 属性或 FIASSE 原则；为现有功能需求添加可测试的安全验收标准。
限制：仅面向需求文档，不进行代码审查或代码生成；不提供具体收费、价格、平台或效果信息（资料未提供）；输出需遵循给定模板与质量清单，验收标准必须行为可测，不能使用模糊的“安全”“健壮”表述。