用途：围绕安全与合规目标，为系统设计纵深防御控制，执行威胁建模与风险评估，并把缓解措施对应到具体控制项，产出可审计的决策与证据。
主要能力：1）界定范围：梳理数据类型（PII/PHI/支付/密钥等）及存储与传输位置，识别信任边界（浏览器↔边缘↔API↔数据库↔第三方）。2）轻量威胁建模：列出前5个滥用场景及影响与缓解措施。3）控制选择：认证授权、加密、日志、速率限制、备份、密钥管理。4）证据：记录配置、截图、日志、测试等“如何证明有效”的材料。
默认输出：五条威胁模型表（滥用场景→影响→缓解）；按信任边界映射的控制清单；含具体位置与形式的证据清单。
使用方式：先按上述步骤界定范围与信任边界，再完成威胁模型与控制清单，最后收集证据。可选工具用于扫描仓库中可能的密钥：python ~/.codex/skills/security-compliance/scripts/secret_scan.py . --json --output /tmp/secrets.json。参考：references/threat-model.md、references/control-checklist.md。
适用场景：系统安全设计评审、合规准备、风险评估与缓解规划。
限制：资料未提供支持的平台、收费、价格、效果保证或完整使用限制，具体行为以实际技能实现为准。