用途：对应用进行合规技术审查，把 HIPAA、SOC 2、PCI-DSS v4.0、GDPR 的框架要求转成具体可测的浏览器检查，适用于医疗、金融、政府等受监管行业，或准备审计、新增支付/健康数据功能、扩展 GDPR 市场、基础设施变更后使用。
主要能力：分五阶段——教育（合规背景）、范围（自动检测并确认适用框架、受监管数据类型、目标 URL、测试凭据，梳理数据流）、分析（用 new_session 并设 record_evidence: true 打开浏览器执行检查）、报告（输出到 shiplight/reports/compliance-review-{date}.md，含框架评分、逐项 PASS/FAIL/N-A、关键不合规项与审计准备清单）、修复（给出修复指引与 YAML 回归测试，保存到 shiplight/tests/compliance-review.test.yaml）。检查项覆盖 HIPAA 技术保障（如 PHI 未认证不可见、会话超时、PHI 不入 URL/控制台/存储、审计日志、角色访问）、SOC 2 信任服务标准（认证、密码强度、MFA、会话、加密、审计、权限、删除、错误处理）、PCI-DSS（卡号掩码、CVV 不存储、HTTPS、iframe/跳转、CSP、角色限制）、GDPR 技术义务（同意、隐私政策、数据导出、删除、可携带、跨境传输）。
使用方式：以 /compliance-review 调用，可指定“只跑 HIPAA 检查”；深度级别有 --quick（约 3 分钟）、默认（约 10-15 分钟）、--thorough（约 25-40 分钟）。需提供目标 URL、测试凭据与受监管数据类型。
限制：仅覆盖可在 Web 应用中测试的技术要求，不覆盖政策、培训、供应商管理等组织/流程要求；隐私与安全专项建议分别配合 /privacy-review 与 /security-review；置信度低于 50% 的发现不报告。具体收费、价格、平台支持等信息暂未提供。