Security Requirement Extraction 是一个将威胁分析转化为可执行安全需求的技能。当需要把威胁模型转化为需求、编写安全用户故事、创建安全测试用例、构建安全验收标准、进行合规需求映射或编写安全架构文档时，可以使用该技能。
核心概念方面，该技能提出需求的分层关系：业务需求 → 安全需求 → 技术控制。示例为“保护客户数据” → “静态加密 PII” → “使用带 KMS 密钥轮换的 AES-256 加密”。
安全需求类型分为三种：功能型，关注系统必须做什么，例如“系统必须对用户进行认证”；非功能型，关注系统必须以何种方式运行，例如“认证必须在 2 秒内完成”；约束型，表示施加的限制，例如“必须使用已批准的加密库”。
需求属性包括：可追溯性，即链接到威胁或合规要求；可测试性，即可以被验证；优先级，即业务重要性；风险等级，即未满足时的影响。
完整模板库位于 references/details.md，需要该技能的具体模板时可阅读该文件。
最佳实践中建议：每条需求都应映射到威胁；需求要具体，模糊需求无法测试；包含验收标准以定义“完成”；尽早映射合规框架；定期评审，因为需求会随威胁演变。同时应避免：使用“要安全”这类泛泛表述，它不构成需求；省略理由，应解释需求为何重要；忽略优先级，并非所有需求都同等重要；忽视可测试性，无法测试就无法验证；孤立工作，应让相关方参与。