用途：面向金融服务的工程级合规分诊。把具体变更（代码 diff、架构设计、IaC、流水线配置）映射到金融合规框架中受影响的控制项，覆盖 PCI-DSS v4.0（支付卡数据）和 MAS TRM（新加坡受监管机构），报告差距并给出可执行整改。
适用时机：变更涉及支付卡数据（PAN、CVV、磁道数据）需做 PCI-DSS 检查；新加坡受监管机构（银行、保险、资本市场、主要支付机构）对照 MAS TRM 审查；有人问“这是否合规”“这样记日志是否违反 PCI”，或要求对 diff、设计、Terraform 变更做银行监管审查。不适用于无框架的通用安全评审、GDPR/SOC2/HIPAA 或法律意见。
使用方式：先选择并仅加载所需参考文件——涉及支付卡数据加载 pci-dss.md；新加坡受监管机构加载 mas-trm.md；两者都适用则两份都加载。范围未明时先问一问：变更触及什么数据、机构是否受新加坡监管。然后界定变更范围（数据元素、信任边界、环境、第三方），选出适用的约 5-15 项控制，逐项判定为合规 / 差距 / 需证据，并列出被排除项及一句话理由以便审计追溯。报告包含控制 ID、问题、整改与严重度（Critical=涉及在线受监管数据的违规；High=控制缺失；Medium=控制不完整或无文档），并附上“仅为工程分诊、不替代 QSA 评估或合规部门”的声明。可进一步把发现转为带控制 ID 的待办事项，便于追溯。
限制：仅覆盖内置的 PCI-DSS v4.0 与 MAS TRM 工程摘要，其他框架或本地政策叠加需另行评审；提供工程分诊而非法律意见、QSA 评估或正式合规签署；需具体证据（diff、设计、IaC、日志等），证据不足应标记为需证据；内置参考是精简控制映射，不能替代阅读官方标准。该技能为只读，仅评审与报告，不修改代码、基础设施或配置。