用途
Compliance Engineering 是一个面向开发者的合规实现技能，目标是把 SOC 2、HIPAA、GDPR、PCI-DSS、FedRAMP 等监管框架的要求落到代码与工程实践中。它适合在实现合规控制、准备审计、或构建隐私合规系统时使用。
框架概览
技能以表格形式列出各框架的范围与关键要求：
- SOC 2：面向服务组织，关注安全性、可用性、机密性、隐私、处理完整性。
- HIPAA：面向医疗数据（PHI），要求加密、访问控制、审计日志、BAA。
- GDPR：面向欧盟个人数据，要求同意、数据最小化、被遗忘权、DPIA。
- PCI-DSS：面向支付卡数据，要求网络分段、加密、访问控制、日志。
- FedRAMP：面向美国政府云，要求 NIST 800-53 控制、持续监控、授权。
主要能力
SOC 2 控制的代码实现
技能给出审计日志与访问控制的 TypeScript 示例。审计日志定义 AuditEvent 接口，包含时间戳、操作者（id、role、ip）、动作、资源、结果与元数据；auditLog 函数写入只追加、不可变存储，并计算链式哈希用于防篡改检测。访问控制示例展示基于角色的权限（admin、editor、viewer）与最小权限原则，authorize 函数在拒绝时记录失败审计事件。
HIPAA 技术保障
技能列出：静态加密使用 AES-256 存储 PHI，密钥管理使用 AWS KMS / GCP KMS；传输加密强制 TLS 1.2+，移动端使用证书固定；访问控制要求唯一用户 ID、自动注销、强制 MFA；审计控制要求记录所有 PHI 访问、日志保留 6 年以上、防篡改；数据备份要求加密备份、测试恢复流程、地理冗余。
GDPR 实现
技能提供同意管理与数据主体访问请求（DSAR）的 TypeScript 示例。ConsentRecord 接口包含 userId、purpose、granted、timestamp、source（explicit 或 legitimate_interest）、withdrawable。handleDSAR 函数按类型处理访问、擦除、可携带性，分别导出用户数据、删除用户数据、导出可机读数据。数据最小化方面建议：只收集声明目的所需数据；设置保留策略并自动删除；尽可能假名化（用令牌替换 PII）；分析时匿名化（k-匿名、差分隐私）。
消费者 Web 应用默认项
技能给出一个检查清单：字体、CSS、JS 自托管（next/font、@fontsource/*），页面浏览不加载 fonts.googleapis.com（GDPR IP 泄露；慕尼黑法院，2022）；会话回放（Sentry Replay、PostHog、Hotjar、Clarity、LogRocket、FullStory）在获得同意前关闭，输入需掩码（加州 CIPA 窃听主张）；营销邮件需退订链接、List-Unsubscribe 头、实体邮寄地址（CAN-SPAM）；订阅需在按钮旁展示续费条款、明示同意、在线取消（加州 ARL、FTC ROSCA）；年龄政策：非面向儿童，或在收集 13 岁以下数据前获得可验证的家长同意（COPPA）；公开用户上传需在版权局注册 DMCA 指定代理（每 3 年续期）并提供通知与下架页面（17 U.S.C. 512(c)）。
PCI-DSS 关键控制
技能强调：绝不存储 CVV/CVC；使用 Stripe/Braintree 令牌替代原始 PAN 进行卡号令牌化；网络分段隔离持卡人数据环境（CDE）；季度漏洞扫描使用 ASV 批准的外部扫描；渗透测试至少每年一次，重大变更后也要进行。
合规即代码
技能列出：策略即代码使用 Open Policy Agent（OPA）、AWS Config Rules、Azure Policy；基础设施合规使用 Terraform Sentinel、Checkov、tfsec；运行时合规使用 Falco 监控容器、AWS GuardDuty；证据收集自动化截图/日志收集用于审计证据。
使用方式
该技能以参考文档形式提供，包含框架对照表、代码示例与检查清单。开发者可按需查阅对应框架的实现模式，将示例代码适配到自身项目。技能本身未提供安装命令或运行步骤。
适用场景
- 实现审计日志、访问控制、加密等合规控制。
- 准备 SOC 2、HIPAA、GDPR、PCI-DSS、FedRAMP 相关审计。
- 构建隐私合规的消费者 Web 应用。
- 将合规策略、基础设施与运行时检查纳入代码化流程。
限制
技能内容为工程实现参考，不构成法律意见。各框架的具体适用范围、认证流程、法律义务需结合实际情况与专业顾问确认。技能未提供收费、价格、平台支持或效果保证等信息。