用途：验证代码实现是否忠实匹配其规格或设计文档，适用于智能合约（ERC-20、ERC-721、ERC-4626 等 EIP 合规）、API 实现（OpenAPI/Swagger）、协议实现（TLS、OAuth 2.0、JWT 等 RFC 合规）以及安全策略（访问控制矩阵、数据处理策略）。与威胁建模不同，本技能针对已存在的实现进行评估。
主要能力：把规格解析为编号需求（R-001…），聚焦访问控制、状态转换、错误条件、数据验证、密码学约束与顺序保证；将每条需求映射到文件与行号，未找到实现即标记 NOT FOUND；逐条核验实现是否满足规格，记录偏差并给出 CRITICAL/HIGH/MEDIUM/LOW 严重级别；对 CRITICAL 与 HIGH 偏差借助 mitre-attack-lookup 映射 ATT&CK 技术；最终产出合规矩阵，状态为 COMPLIANT/NON-COMPLIANT/PARTIAL/NOT IMPLEMENTED，并给出整体合规百分比。
使用方式：需提供书面规格（RFC、设计文档、EIP、OpenAPI schema、安全策略）、可读代码库，可选 mitre-attack-lookup。输入包括 SPEC_SOURCE、SPEC_TYPE、CODEBASE_PATH、LANGUAGE 及可选的 REVIEW_SCOPE。流程为解析需求、映射代码、核验实现、映射 ATT&CK、生成合规矩阵。ATT&CK 查询示例：python3 scripts/query_attack_md.py search "access control"；python3 scripts/query_attack_md.py technique T1078。
适用场景：实现含明确安全保证的功能后、按 EIP 或白皮书审计智能合约、审查 RFC 协议实现、验证代码是否落实安全策略、外部审计前的预审准备、规格更新后重新验证。
限制：规格过于模糊时需先澄清并记录假设；需求无对应代码时标记未实现；跨多层实现需注明权威执行点；ATT&CK 映射不明确时需注明不确定性；规格自相矛盾时采用最严格解释；大型规格（100+ 需求）建议先按安全相关性分诊。合规矩阵应随规格修订、依赖升级或重构重新运行。MUST 违规至少为 HIGH 严重级别。