用途
Phoenix Security — Verification Matrix（Role 08）是 Phoenix Security 规范流水线中的一个角色，负责把需求映射到可执行的验证证明方法。它接收上游角色产出的规范性与安全需求、契约，为每条 MUST/MUST NOT 指定证明类型、证明产物和负向测试，最终生成 08-verification-matrix.md，并传递给 Role 09（Batch Planner）。
主要能力
- 基于 Phoenix 证明类型层级为需求分配证明方法，证明类型包括：unit-test、integration-test、contract-test、static-analysis、infra-check、manual-review、pen-test、load-test。
- 每种证明类型有对应的命名约定，例如 unit-test 使用 test_<module><behaviour>.py，contract-test 使用 pact<api-id>_<scenario>.json，static-analysis 使用 Bandit、CodeQL、Semgrep 规则名，infra-check 使用 Terraform plan / AWS policy check，load-test 使用 Locust / k6 场景名。
- 证明优先级（优先自动化）：unit-test → integration-test → contract-test → static-analysis → infra-check → load-test → manual-review。
- 强制证明分配规则：R-SEC-* 至少需要 static-analysis + unit-test；PSC-03（多租户）需要 integration-test；PSC-08（AI agent）需要 manual-review + unit-test；API-NNN 以 contract-test 为主；认证、租户隔离、输入校验需要负向测试。
- 输出结构化验证矩阵，包含 Requirement_ID、Statement、Level、Proof_Type、Proof_Artifact、Negative_Test、Notes 等字段，并统计 total_musts、automated_proofs、manual_proofs、unverified_musts。
使用方式
该角色依赖 Roles 04、06、07（NORMATIVE_REQUIREMENTS、SECURITY_REQUIREMENTS、CONTRACTS），输出保存至 outputs/{session-id}/08-verification-matrix.md，并传递给 phoenix-batch-planner（Role 09）。Token 预算为 ≤1000 tokens。输出包含 meta 元数据（role、session_id、token_count、total_musts、automated_proofs、manual_proofs、unverified_musts、status、next_role）以及 VERIFICATION_MATRIX 表格和 UNVERIFIED_MUSTS 列表。
适用场景
适用于安全规范流水线中需要将需求逐条映射到验证证明的环节，尤其是涉及认证、租户隔离、输入校验、API 契约、多租户与 AI agent 相关需求的安全验证规划。
限制
核心规则要求每条 MUST/MUST NOT 至少有一条证明路径；若无法证明，需将 MUST 降级为 SHOULD，或标记为 OPEN QUESTION 并附理由。unverified_musts 大于 0 会成为 Final Gate 阻塞项，除非已附理由降级。认证、租户隔离与输入校验需求必须包含负向测试。