healthcare-phi-compliance

healthcare-phi-compliance 技能概览

healthcare-phi-compliance 技能帮助你设计和审查医疗软件，确保 PHI 和 PII 在数据模型、API、日志以及访问路径中都能被安全处理。它最适合用来做实用的、带合规意识的检查，而不是法律意见书：比如构建面向患者的功能、加入临床工作流、加固审计轨迹，或者做一次医疗安全审查。

这个 healthcare-phi-compliance 技能适合做什么

当你的核心问题是“敏感数据可能从哪里泄露，以及我该如何阻止它”时，就用 healthcare-phi-compliance。这个技能聚焦于医疗系统中的数据分类、访问控制、加密和可审计性，适用于需要对齐 HIPAA、DISHA、GDPR 或类似义务的场景。

适合的读者和团队

这个 healthcare-phi-compliance 技能很适合工程师、安全审查人员、平台团队，以及生成医疗产品代码或策略检查的 AI agent。它对多租户应用、基于 RLS 的系统，以及需要统一处理患者、临床人员和财务记录的团队尤其有帮助。

它和普通安全提示有什么不同

不同于通用安全提示词，这个技能会把重点放在医疗场景特有的泄露向量上：过宽的患者查询、身份标识的日志记录、薄弱的行级访问控制，以及通过分析工具或支持工具造成的意外暴露。它最有价值的时机，是你在实现前需要一条清晰的决策路径，或者在医疗版本发布前做结构化审查。

如何使用 healthcare-phi-compliance 技能

安装并加载这个技能

将 healthcare-phi-compliance 技能安装到你的 Claude Code 或支持 skill 的环境中，然后先让 agent 读取仓库里的 SKILL.md。如果你的工作流支持按名称安装 skill，就使用 skills/healthcare-phi-compliance 这个仓库路径，并在请求输出前确认技能已启用。

给模型提供正确输入

想让 healthcare-phi-compliance 的使用流程真正有用，就要提供：涉及的数据类型、哪些人应该访问、数据存在哪里、哪些界面或接口会返回它，以及相关国家或监管语境。高质量输入要具体，例如：“审查一个患者门户 API，看看它返回化验结果、预约历史和保险理赔信息时是否存在 HIPAA 和 GDPR 风险。” 像“让它合规一点”这种弱输入，通常会漏掉真正的暴露点。

先读这些部分

先看 SKILL.md，再检查任何描述 When to Use、How It Works，以及数据分类或访问控制规则的标题。这个仓库没有额外的 rules/、resources/ 或辅助脚本，所以它的主要价值在于理解核心指导，并把它应用到你自己的架构中。

把粗略提示改造成有用的工作流

更好的 healthcare-phi-compliance 安装工作流是：定义功能、列出敏感字段、标明参与角色、识别存储和日志路径，然后请求风险审查或实现方案。例如：“使用 healthcare-phi-compliance，审查这个多租户 EHR 端点是否存在 PHI 暴露风险，提出 RLS 检查，定义审计事件，并标出任何日志或缓存问题。” 这样的结构能给技能足够上下文，输出可执行结果，而不是泛泛而谈的合规措辞。

healthcare-phi-compliance 技能常见问题

healthcare-phi-compliance 只适用于 HIPAA 吗？

不是。这个技能当然和 HIPAA 相关，但也适用于必须遵守 DISHA、GDPR 以及更广泛隐私/安全控制的医疗系统。把它当作医疗 PHI/PII 的设计与审查指南，而不是单一法规清单。

什么时候不该用这个技能？

不要把它当作法律审查、正式合规认证或组织内部政策的替代品。如果你的任务与医疗数据暴露无关，普通安全提示词可能就已经足够。

它适合初学者吗？

适合，只要你能把数据流说清楚。healthcare-phi-compliance 指南在你已经知道哪些记录敏感、哪些角色应该看到它们时，最容易上手。初学者如果把分类、访问和审计检查分开提问，往往会得到更好的结果。

它和普通安全提示词有什么区别？

普通提示词往往停留在泛化层面。healthcare-phi-compliance 会强制把审查重点放在医疗特有的数据类别、访问边界、日志风险和可审计性上，这会让输出在 Security Audit 和实施规划中更有用。

如何改进 healthcare-phi-compliance 技能

提供明确的系统边界

提升 healthcare-phi-compliance 结果的最好办法，是明确指定具体子系统：患者门户、临床工作台、计费服务、分析管道，或者支持后台管理面板。这个技能在知道问题属于读访问、写访问、日志、导出还是备份时，表现会更好。

标出敏感字段和参与角色

列出哪些字段属于 PHI 或 PII，以及哪些角色应该访问它们。例如：name、dob、phone、diagnosis、lab_results、insurance_id；以及 patient、doctor、nurse、claims agent、support admin 等角色。这样得到的建议会比一句笼统的“保护敏感数据”更精准。

直接要求你需要的具体产物

如果你想把这个 healthcare-phi-compliance 技能用于 Security Audit，就要明确说明你需要的是 threat model、代码审查清单、RLS policy 草案、审计日志方案，还是整改步骤。产物越具体，输出就越可能直接用于 review、实现或签核。

迭代具体泄露点，而不是抽象概念

拿到第一版输出后，继续把技能往具体故障模式上推：过度记录日志、过度拉取数据、缓存中的 PHI、过宽的数据库查询、薄弱的导出控制，或者缺失审计事件。healthcare-phi-compliance 在这些地方最有价值，尤其是当你想在上线前尽量减少真实暴露面时。