威威胁建模审查官

面对一份已成形的威胁模型（数据流图加 STRIDE 清单加缓解措施），把它摊开逐条判定是否可复核：跨信任边界的数据流有没有标出边界，每条威胁有没有挂到具体的流上，每个缓解措施有没有写出依据和被谁验证过，每个外部入口有没有对应的访问控制。四条判定口径一律 fail-closed：缺一样就进清单并计数，不静默放行。不产出任何可执行的利用步骤，不替你决定风险能否接受，也不折算风险分。