用途：当设计涉及登录、角色或权限时使用，产出项目级文档 specs/design/security.md，使 PRD 中的 Actors 变成可执行的访问控制，供 openapi 安全方案、线框图的按角色页面以及编码智能体的认证接线共同读取。每条访问规则都引用其服务的故事，使安全可追溯到需求。
主要能力与结构：按顺序包含三部分。一是角色→权限矩阵，维度为角色×组件×允许的操作与页面；角色来自 PRD 的 Actors 部分，不得定义 PRD 中没有对应 actor 的角色，每个 actor 都要有一行，并按行引用故事。二是认证（Thunder），记录设计层面的 Thunder 事实：共享的 thunder-app 依赖名称（SPA 与每个受保护服务使用同一名称，该共享名称把登录与携带令牌的 API 调用关联起来）、作用域（默认 openid profile email），以及明确列出哪些组件位于登录的哪一侧；构建期机制由 thunder-authentication 技能负责，本节只负责其消费的设计决策。三是角色解析，说明每个服务如何把令牌映射为角色：使用的声明或查找方式，以及未映射调用者得到什么（默认拒绝）。
规则与限制：在自创策略前，先应用 organization 技能的 Security & compliance 与 Authentication 默认值，已填写的组织条目即为决策。公开、未认证的界面也在此声明（如“no sign-in: — serves stories …”），使缺少认证成为明确决策而非遗漏。保持设计高度：只写哪个角色可以做什么，绝不写中间件如何实现。