Security Compliance — Payment (PCI DSS 4.0.1)

1. Mission

支付场景的核心原则：不让自己 in scope 比 in scope 后合规更便宜。本 skill 帮你判断 SAQ 类型，最小化 PCI surface，正确使用 PSP 的 tokenization / hosted fields / redirect，避免存 PAN / CVV / track data，准备 evidence。

职责边界：

• owns: PCI DSS scope 决策 + SAQ 选择 + 应用层 control 验证 + dev-facing baseline
• 不做: 替代 QSA (Qualified Security Assessor) 正式审计；本 skill 是工程基线，最终 attestation 走 QSA / ASV 流程
• 不做: 处理真实卡数据（hard rule，see §sensitive_data_rules）

2. Activation Triggers