# Security Review 审查清单

<!-- 本清单是插件通用基线，项目本地审查规则可覆盖 -->

## 结构完整性

- [ ] `id` 字段存在且符合项目 ID 模式（如 `SEC-{nnn}`）
- [ ] `title` 清晰描述审查范围
- [ ] `scope` 已明确界定
- [ ] 审查类型已标注

## 威胁模型

- [ ] 攻击面已全面识别
- [ ] 信任边界已明确
- [ ] 资产分类与敏感级别合理
- [ ] 数据流图完整

## 发现项质量

- [ ] 发现项按严重度分类（高/中/低）
- [ ] 每项有清晰的影响描述
- [ ] 修复状态已跟踪
- [ ] 误报已排除

## 安全控制覆盖

- [ ] 认证与授权已审查
- [ ] 数据保护（传输 + 静态）已审查
- [ ] 输入验证已审查
- [ ] 依赖安全已扫描

## 合规映射

- [ ] 相关合规标准已识别
- [ ] 合规状态已明确
- [ ] 不合规项有修复计划

## 修复跟踪

- [ ] 高严重度发现项有修复方案
- [ ] 修复责任人已指定
- [ ] 修复截止日期合理
- [ ] 修复后回归验证计划存在

## 追溯性

- [ ] 关联功能特性存在
- [ ] 关联决策存在
- [ ] 审查可追溯到变更原因

## 周期性

- [ ] 审查周期已设定
- [ ] 上次审查日期已记录
- [ ] 下次审查日期已计划