一句话

不单独走的一层加固：宿主工作流命中鉴权、支付、迁移、公开 API、不可逆操作时打开，在评审和上线段插入威胁建模、对抗评审和爆炸半径验证。

适用

• 触发条件，命中任一即开：鉴权与会话、支付、数据迁移、公开 API、删数据或不可逆操作、LLM 特性。
• 不适合：纯内部工具、可读可回滚的小改动，开了是纯浪费。

步骤

叠加在 W2-单会话功能、W3-多会话功能、W4-大型模糊项目 的评审与上线段：

1. 威胁建模：addy-security-and-hardening 先做 STRIDE 分析，按三层边界定必做、先问、禁做。
2. 对抗评审：addy-doubt-driven-development 让每个非平凡决定过一次全新上下文的 CLAIM、EXTRACT、DOUBT、RECONCILE、STOP。
3. 迁移类改动：addy-deprecation-and-migration 走 expand/contract，先建替代品、渐进迁移、最后才删。
4. 爆炸半径：pstack-blast-radius 找出「安全是因为哪一条事实」并真跑代码证明（可选/借鉴；方法是核心，本机可照搬）。
5. 数字结论：凡是「快了多少、省了多少」一律过 pstack-benchmark-checklist 七问（可选/借鉴）。
6. 证据：ctk-verify-this 对关键断言抓 baseline 和 treatment 对比，只认 VERIFIED（本机无 CTK 时用脚本自验，可选/借鉴）。
7. 上线：addy-shipping-and-launch 的 /ship 扇出三人格评审出 go/no-go，结论必须附回滚方案。

token 与旋钮

• 省：只在命中触发条件时打开；单点命中只加对应的那一个技能。
• 标准：命中后走第 1、2、7 步。
• 加强：七步全上，/ship 三人格评审配 verify-this 的对比证据。

进入与退出

• 进入：宿主工作流的 diff 或 spec 命中触发条件。
• 完成判据：威胁清单有结论、go/no-go 带量化门槛、回滚方案写好。
• 之后：随宿主 PR 进 W7-交付与运维循环。

常见坑

• 全程开着加固层做无关改动，token 烧了价值为零。
• 迁移一步到位直接切换；不走 expand/contract 就没有回滚余地。
• 数字结论凭感觉写进 PR；benchmark-checklist 就是防这个。

关联

• 入口：00-怎么选工作流 · 宿主：W2-单会话功能、W3-多会话功能、W4-大型模糊项目 · 下游：W7-交付与运维循环