用途：该技能用于在构建 SaaS 平台、云服务、面向客户的 API、多租户系统或任何处理客户数据并需要 SOC 2 的服务时，提供合规编码与工程实践指引。SOC 2 是 AICPA 制定的审计框架，Type I 评估单时点控制设计，Type II 评估 3 至 12 个月的运行有效性。
主要能力：围绕五大信任服务准则展开。安全（CC1-CC9）为必选，涵盖访问控制、加密、监控、变更管理与事件响应；可用性、处理完整性、保密性、隐私为可选。文档给出 CC1-CC9 的开发者职责，并细化访问控制（RBAC、最小权限、审计授权决策、会话限制、敏感操作 MFA、API 密钥哈希与过期、季度访问审查、离职回收）、加密标准（静态 AES-256、传输 TLS 1.2+、HSTS、mTLS、密钥轮换、密钥管理）、日志监控（需记录的事件类别、结构化 JSON 格式、保留期限、不可变存储）、变更管理（分支保护、部署记录、职责分离、紧急变更）、事件响应（P1-P4 分级、健康检查、异常检测、遏制自动化、事后复盘）、可用性（熔断、指数退避重试、备份验证）、处理完整性（输入校验、幂等、数据对账）、数据处理（数据分级、保留与删除、测试数据）、供应商管理（登记表、安全清单、年度评估）、Type I 与 Type II 差异以及证据生成模式。
使用方式：作为编码指南应用于系统设计与实现，结合各章节的具体控制要求落地。文档提及实现代码示例存放于 resources 目录（access-encryption.md、logging-change-incident.md、availability-integrity.md、evidence-collection.md），但正文未提供这些文件的具体代码内容。
适用场景与限制：适用于需要 SOC 2 合规的工程团队。审计成本、周期等为文档陈述的一般情况，实施细节应以实际资源文件与官方准则为准。