安全需求提炼

要解决什么问题

威胁建模和安全分析往往产出大量威胁条目与风险描述，但研发、测试与合规侧需要的是可验收、可追踪的需求形态：用户故事、测试用例、验收标准，以及与合规条款的映射。若缺少结构化提炼，安全结论容易停留在文档层，难以进入迭代 backlog 与发布门禁。

技能如何工作

本技能面向「将威胁分析转化为可行动的安全需求」这一主线，典型用法包括：

• 把威胁模型输出整理为明确的安全需求条目
• 编写带安全约束的用户故事与验收条件
• 设计安全测试用例与验证步骤
• 将合规要求映射到具体控制点与需求
• 支撑安全架构相关文档中的需求章节

操作上遵循可重复流程：先明确目标、约束与输入（例如已有威胁模型、合规框架、系统边界），再按领域最佳实践生成结果，并给出可执行步骤与验证方法。更细的模式与示例见 resources/implementation-playbook.md。

适用边界

• 适用：需求从威胁/风险分析向工程交付物转化、需要统一表述的安全验收与测试设计。
• 不适用：与安全需求提炼无关的通用开发任务；必须依赖本技能范围外专用工具或领域（需另选技能或人工流程）时，不要强行套用本模板。