spec-to-code-compliance
作者 trailofbitsspec-to-code-compliance 用於驗證程式碼是否與書面規格完全一致，特別適合區塊鏈稽核與 Compliance Review。使用 spec-to-code-compliance 技能來比對 whitepapers、設計文件與實作，找出缺漏的行為，並標記未文件化或有偏差的邏輯。
此技能評分為 78/100，代表它很適合需要針對區塊鏈稽核進行 spec-to-code 合規檢查的目錄使用者。它提供足夠的工作流程結構、觸發指引與輸出要求，能比通用提示更有效減少猜測，但使用者仍需預期這是一個相當專門、且偏文件導向的流程。
- 明確列出使用情境與具體觸發條件，適合將程式碼與規格、whitepapers、協定文件進行比對。
- 透過檢查清單與必要的 IR／輸出格式提供清楚的操作指引，包括完整性門檻與逐行證據要求。
- 內容篇幅充實，且包含多個支援資源，顯示這是一套真正的工作流程，而不是示範版或空殼內容。
- 高度聚焦於區塊鏈／規格合規，因此不適合作為通用的程式碼審查或漏洞查找技能。
- 沒有提供安裝指令或以腳本為基礎的自動化，因此導入效果取決於使用者是否能仔細依照書面流程執行。
spec-to-code-compliance 技能概覽
spec-to-code-compliance 是一個專注的稽核技能，用來檢查程式碼是否與書面規格完全一致。它最適合區塊鏈與協議團隊做有證據支撐的合規審查，而不是一般性的程式碼審查。當你同時有規格文件和實作內容，並且需要回答一個很硬的問題：哪些已經實作、哪些缺漏、以及在行為、不變量或安全保證上有哪些偏離，這時就該使用 spec-to-code-compliance 技能。
這個技能的用途
這個技能是為 spec-to-code-compliance 分析而設計，特別適用於智慧合約、協議邏輯，以及其他有正式文件支撐、風險很高的程式碼庫。它能協助找出白皮書、設計文件與程式碼之間的落差，包括被省略的流程、被改動的假設、未文件化的行為，以及安全機制未完整落實的部分。
最適合的使用者與工作情境
它很適合稽核人員、協議工程師、安全審查者，以及準備進行 Compliance Review 的技術產品經理。如果你需要在上線前，比對預期行為與實際程式碼，這個技能會提供比一般提示詞更有紀律的工作流程。
主要差異化優勢
spec-to-code-compliance 的核心價值在於可追溯性：它會把分析導向明確的規格萃取、程式碼層級證據，以及一致性檢查。這讓它比起一次性叫 AI「幫我看程式碼」更可靠。
如何使用 spec-to-code-compliance 技能
安裝並啟用
先使用這個技能的 repo 安裝路徑，然後把模型指向你要檢查的特定程式碼庫與規格文件。典型的 spec-to-code-compliance 安裝流程，會先從 trailofbits/skills 裡的外掛路徑開始，接著在同時包含文件與原始碼的 repo 中執行這個技能。
提供正確的輸入
要把 spec-to-code-compliance 用好，請提供：
- 規格來源或來源集合
- 目標程式碼庫或 commit
- 明確的範圍，例如一個合約、模組或協議流程
- 任何已知的排除項、假設或審查標準
較弱的提問方式是：「幫我確認這個有沒有符合規格。」
較強的提問方式是：「比對 docs/whitepaper.md 與 contracts/Router.sol，檢查 swap slippage、deadline 處理與授權邏輯，並標出任何規格未涵蓋的行為。」
先讀這些檔案
先讀 SKILL.md，再讀 resources/OUTPUT_REQUIREMENTS.md、resources/COMPLETENESS_CHECKLIST.md 和 resources/IR_EXAMPLES.md。這些檔案會告訴你這個技能預期萃取什麼、如何判定完整度，以及什麼樣的合規紀錄才算好。
能提升結果的工作流程
實用的 spec-to-code-compliance 流程如下：
- 找出規格中包含需求、不變量與流程的章節
- 將每一項需求對應到程式碼中的精確函式、modifier 與狀態變更
- 記錄每個不一致、缺少的分支，以及未文件化的假設
- 依嚴重度與信心度總結，而不是依發現數量堆疊
最大幅度的品質提升，來自於把審查行為描述得夠具體。如果你把範圍縮到單一流程、單一合約或單一不變量集合，輸出通常會更精準，也更容易驗證。
spec-to-code-compliance 技能 FAQ
spec-to-code-compliance 只適用於區塊鏈程式碼嗎？
不完全是，但它明顯是針對區塊鏈與協議文件最佳化。如果你的專案沒有正式規格、白皮書或設計文件，這個技能通常就不是對的工具。
這和一般程式碼審查提示詞有什麼不同？
一般提示詞可能會找錯誤或總結程式碼。spec-to-code-compliance 是用來做合規審查：它會檢查實作是否符合文件化意圖，包括遺漏項與不一致的保證。
初學者需要稽核經驗才能用嗎？
不需要。只要能清楚提供規格與程式碼，初學者也可以使用 spec-to-code-compliance 技能。關鍵不是專業深度，而是來源選擇得好、問題範圍夠明確。
什麼情況下不該使用？
如果你只是想寫文件、廣泛找漏洞，或單純理解陌生程式碼，就不要用它。若沒有權威性的規格文件，分析的意義會大打折扣，適配度也會偏弱。
如何改進 spec-to-code-compliance 技能
聚焦在最重要的規格主張
要讓 spec-to-code-compliance 的結果更好，請優先處理會影響使用者、安全或經濟面的需求：不變量、角色、信任邊界、狀態轉換，以及明確寫成 MUST/NEVER 的條款。這些主張最可能影響 Compliance Review 的判定。
提供具體的證據邊界
盡可能提供精確的文件名稱、程式碼路徑，以及 commit 或 tag。如果你知道審查應該忽略測試 helper、管理腳本或無關模組，也請一開始就說清楚。邊界越清楚，越能減少誤判成缺漏，並讓分析集中在真正要看的實作面上。
留意常見失敗模式
常見的弱點包括：隱含的規格主張、被藏起來的狀態轉換，以及乍看之下像是對上了、其實只是部分符合的情況。如果第一次結果不夠確定，就要求更緊的對照表，把每個規格主張對應到程式碼位置，或明確標示為尚未實作。
用更精準的第二輪提問持續迭代
如果第一次輸出太廣，可以用以下方式縮窄：
- 「只檢查授權與升級路徑」
- 「把費用計算對照規格公式」
- 「列出所有在程式碼中找不到對應的規格主張」
這類追問可以把 spec-to-code-compliance 從摘要工具，變成精準的驗證工作流程。