绳墨 · 标准合规就绪度自检
> 外审/认证前的「模拟审核器」——不是告诉你标准是什么，而是告诉你审核员要的证据你拿不拿得出来。
一句话说明（用户视角）
你要过等保、过 ISO、过外审，最怕两件事：①不知道还差什么证据，②不知道补到哪了。
把制度文件、记录、报告等证据材料交给绳墨，它自动：
- 扫描你已有的证据（不是让你手填清单）；
- 反查还缺哪些控制项（证据反向索引，不做正向 checklist）；
- 给整改优先级（哪份证据能同时喂饱多个标准，复用倍率高的先补）；
- 建立进度档案（第二次跑自动对比上次，算出"还差多少、预计多久达标"）；
- 输出可发给测评机构的证据清册，以及给领导的一页纸。
法律红线（重要）
绳墨不出具任何认证/测评结论。它只输出四种自评状态之一：
- 可提交自评
- 建议整改后再自评
- 重大缺口
- 证据不足无法判定
任何"通过/符合/达标/合格/包过"字样都会被引擎拦截并报错。ISO 认证须 CNAS 认可机构、等保测评须有资质机构——这既是合规要求，也是绳墨的信任资产。
每次输出前置一份免责声明：本工具为就绪度自评辅助，不构成任何形式的认证、测评、法律或合规意见。
调用流程（先付费 · 经统一网关）
绳墨通过统一收费网关提供服务：未付费不执行——先出账单、完成支付后再执行（A2M 402 协议）。
服务地址
Base URL：https://skillgo.xyz/api/alipay，下文写路径（完整地址 = Base URL + 路径）。
统一响应封装：
{"code":"OK","message":"ok","data":{},"trace_id":"...","ts":1788740000}
第 1 步 · 提交调用
POST /alipay/invoke
Content-Type: application/json
{
"skill": "shengmo-compliance-readiness",
"feature": "check",
"text": "证据材料正文（制度 / 记录 / 报告 / 第三方证明等，可长文）",
"options": {
"standard": ["dj2.0", "iso27001_2022"],
"level": "S3",
"manual": ["E-POL-01"],
"system_id": "my-system"
}
}
| 字段 | 必填 | 说明 |
|---|---|---|
skill |
是 | 固定 shengmo-compliance-readiness |
feature |
是 | 见下方「功能与计价」 |
text |
否 | 证据材料正文（长文自动落临时文件，用后即删） |
options.standard |
否 | 标准包：dj2.0 / iso27001_2022 / iso13485，可多选 |
options.level |
否 | 等保级别：S1–S5 |
options.manual |
否 | 无证据材料时，手工申报已具备的证据类型 |
options.system_id |
否 | 档案标识，用于隔离不同系统的进度 |
第 2 步 · 处理响应
| 返回 | 含义 | 你要做的 |
|---|---|---|
200 |
免费层或额度内直出 | 直接从 data.result 取结果 |
402 |
需付费（本调用未带支付凭证） | Header 含 Payment-Needed: <base64url 账单>，body 含 out_trade_no / amount / goods_name / pay_qrcode（如有）→ 完成支付 |
200（重放后） |
验付通过、履约完成 | 携 Payment-Proof: <凭证> 重放同一请求后从 data.result 取结果 |
> 「原样重试」的含义：重放时 JSON body 必须与首次完全一致，仅新增 Payment-Proof 请求头；不要改 feature/text/options 来传订单信息。
第 3 步 · 取结果
结果在 data.result（就绪度报告、整改优先级、证据清册、领导一页纸等，视 feature 而定）。
功能与计价
| feature | 层级 | 说明 |
|---|---|---|
standards |
免费 | 列出可用标准包（纯查询，不计费、不消耗额度） |
check |
付费 | 就绪度自检主流程（核心） |
emit |
付费 | 在自检基础上额外导出「证据清册」与「领导一页纸」 |
pdca |
付费 | PDCA 改进候选清单 |
- 单价：¥1.99 / 次（上限 ¥2.00；以网关侧配置为准，网关为单一真源）。
- 免费额度：每个调用标识对付费功能有 前 5 次免费，由网关按
(标识 × skill)独立计数；超出后按次收费。 - 计费口径：
402仅创建订单、尚未扣费；验付通过才算成交；执行失败支持退款冲正或不重复扣费重跑。
订单与额度查询
| 接口 | 用途 |
|---|---|
GET /alipay/orders/{out_trade_no} |
查订单状态（pending → paid → fulfilled） |
GET /alipay/quota |
查本标识剩余免费额度 |
GET /alipay/skills/shengmo-compliance-readiness |
查本 skill 的功能分层与价格 |
GET /alipay/healthz |
网关可达性自检 |
已内置标准包（v1.1.0）
| 标准 | 状态 | 覆盖 |
|---|---|---|
| 等保 2.0 | GA | 核心控制项抽样 34 条 |
| ISO/IEC 27001:2022 | GA | 附录 A 抽样 30 条 |
| ISO 13485:2016 | GA | 核心过程 13 条 |
未来板块（planned）：PIPL 个人信息保护法、数据安全法、PCI DSS、GDPR、ISO 9001、HIPAA——新增只需放标准包并登记，引擎自动发现。
技术约束与数据说明
- 引擎：纯 Python 标准库，零第三方依赖；结论仅取四态白名单，越界词硬拦截。
- 数据：证据材料经统一网关提交并在服务端执行，请勿提交含敏感个人信息的内容；网关正文仅内存处理、临时文件用后即删。
- 进度档案：就绪度档案由服务端持久化，用于跨次对比与达标日预测——换工具 = 重做整段整改历程。
- 退出/错误码：网关侧统一返回
code（如Payment-Needed/PAYMENT_INVALID/ENGINE_NOT_MOUNTED），错误响应不含堆栈与凭据。
