用途：对应用执行端到端的 PCI 安全软件标准（SSS）v2.0 就绪度差距评估，输入为源码、设计文档和依赖清单。这是就绪度差距分析，不是官方 PCI 验证；PCI SSS 未定义 In-Place/Not-in-Place 标记，标记仅出现在由合格评估师评估的 ROV/AOV 模板中，报告须说明这一点。
主要能力：以固定目录 reference/catalog/pci-sss-v2.0.json 为需求唯一来源，经 tools/pci-sss/applicability.py 过滤出适用集合，不由模型生成需求。每条适用测试需求给出状态判定、证明证据（或差距）、原因与整改建议，汇总为 Compliance-Assessment-Report.pdf、compliance-report.json 和 tracker.csv，并以 100% 覆盖率和确定性引用校验为门槛。
使用方式：以 pci-compliance 工作流按安全目标分片运行。先执行 Workflow('pci-compliance', { scope_file: 'projects/compliance/pci-sss-scope.md', mode: 'intake' }) 获取 engagement_dir 与适用目标；再对每个适用目标 O 执行 Workflow('pci-compliance', { engagement_dir, mode: 'assess', objective: O })；最后执行 Workflow('pci-compliance', { engagement_dir, mode: 'report' }) 完成校验与报告。小应用可用 mode: 'full'，选项包括 votes（默认 3）、maxConcurrent（默认 4）、dryRun、max_requirements。
流程分六阶段：INTAKE 搭建输出目录、解析范围、识别技术栈并采集 AppContext；APPLICABILITY 对条件性安全目标与模块做有证据的适用性判定，排除需负证据；GATHER 按目标族采集源码与文档证据；DYNAMIC 在授权且有运行实例时做动态分析，否则记为 REQUIRES_MANUAL_REVIEW；VERDICT+VERIFY 给出带引用证据的状态，由盲对抗反驳者攻击每个 MET，citation_verify.py 校验引用，失败则隔离并降级；REPORT 生成带免责声明与覆盖及限制章节的差距报告。
限制：证据无法证明需求时记录 REQUIRES_MANUAL_REVIEW，绝不伪造 MET，失败即关闭。动态分析需授权运行实例。具体收费、价格、平台与效果资料暂未提供。