发布前法律审查：按团队框架与风险校准逐类检查 PRD/工单…

当用户说“review this launch”“legal review for [feature]”“can we ship this”“what are the legal issues with [product]”，或引用发布 tracker 工单/PRD 需要逐类审查备忘录时使用。

适用场景

解决思路

1. 加载 `~/.claude/plugins/config/claude-for-legal/product-legal/CLAUDE.md` 获取框架和校准；若存在占位符则停止。
2. 获取 PRD 及相关文档；如果 tracker 已连接，拉取工单和评论。
3. 使用下方工作流走完框架的每个类别。
4. 对每个发现按校准表校准；novel 明确标记。
5. 按 house format 输出 review memo；如果 tracker 已连接，将摘要发到工单。
6. Hand off：若 substantial marketing，交给 marketing-claims-review；若某发现需要深度，交给 feature-risk-assessment。
7. 检查 practice-level CLAUDE.md 的 `## Matter workspaces`。若 `Enabled` 为 `✗`（in-house 默认），跳过 matter 机制。若启用且无 active matter，询问：“Which matter is this for? Run `/product-legal:matter-workspace switch <slug>` or say `practice-level`.” 加载 active matter 的 `matter.md` 获取 matter 特定上下文和覆盖项。将输出写入 `~/.claude/plugins/config/claude-for-legal/product-legal/matters/<matter-slug>/`。除非 `Cross-matter context` 为 `on`，绝不读取其他 matter 文件。
8. 执行 Destination check：输出前检查去向。若用户指定目的地，询问是否在特权圈内。公共频道、全公司列表、对方/对方律师、供应商、客户（针对 work product）会放弃保护。若目的地看起来在圈外，标记并提供：(a) 仅法律用特权版本，(b) 给更广泛频道脱敏版本，(c) 两者。不要默默套特权头再帮粘贴到无法保护的地方。见插件 CLAUDE.md 的 `## Shared guardrails → Destination check`。
9. 读取 `~/.claude/plugins/config/claude-for-legal/product-legal/CLAUDE.md` 的 `## Review framework`（要检查类别）、`## Risk calibration`（该公司什么阻碍 vs FYI）、`## Launch review process`（输出格式）、`## Escalation`（何时上报）。
10. 将校准表视为与通用清单的区别；若表说“新数据收集 → PIA, ships in 1-2 days”，不要写“可能需完整 DPIA 和监管咨询”；匹配团队实际做法。
11. Step 1 获取输入：从文件、Drive 或 launch tracker ticket 获取 PRD；若有分开的 spec/design doc 则获取；若有 marketing plan 则获取（若 substantial 则交给 marketing-claims-review）；获取 launch date 用于紧迫性校准；若 launch tracker ticket 已连接，拉取上下文和评论。若 Jira/Linear MCP 已连接，拉取 ticket history，因早期评论常有 PRD 未捕获的上下文。
12. Step 2 在清单前用平实英文回答：这个产品做什么？谁使用它——现有用户、新用户、新细分？什么是新的 vs 已审查过的扩展？是否有新数据、新供应商、新声明、新司法管辖区？
13. 在 framework walk 之前运行 AI detection：检查发布是否以任何形式使用 AI——第三方模型、内部构建模型、AI 驱动的供应商功能、自动评分或分类、生成内容、推荐、预测。即使 PRD 未标注“AI”也要查找；“intelligent”“automated”“personalized”“generated”“suggested”等词是线索。
14. 若检测到 AI 组件 → 标记，然后在 framework walk 同时运行 `/ai-governance-legal:use-case-triage [feature]`。Category 8 处理细节；此标记确保即使 PRD 模糊也不跳过。
15. Step 3 走框架：对 `~/.claude/plugins/config/claude-for-legal/product-legal/CLAUDE.md` → Review framework 中每个类别检查。若团队没有框架，使用 8 类默认。类别是稳定框架概念；在每个类别内，根据产品行业、受众和司法管辖区研究适用监管制度，再校准严重性。
16. 默认类别 1 Contractual commitments：关键问题——是否与任何面向客户的承诺（ToS、SLA、营销）冲突？若 No customer-facing changes 则 auto-skip。
17. 默认类别 2 Privacy：关键问题——新的数据收集、新的目的、新的共享？若 No data changes 则 auto-skip。
18. 默认类别 3 Security：关键问题——新的攻击面、新的静态数据、新的访问模式？若 UI-only, no backend change 则 auto-skip。
19. 默认类别 4 IP：关键问题——第三方代码/内容？开源许可证检查？可能侵权的输出？若 No new dependencies, no user-generated content 则 auto-skip。
20. 默认类别 5 Third-party：关键问题——新供应商、合作伙伴或集成？若 No new external parties 则 auto-skip。
21. 默认类别 6 Regulatory：关键问题——是否触及受监管行业、受众或司法管辖区？研究适用制度。若 Same users, same sectors, same jurisdictions as existing product 则 auto-skip。
22. No silent supplement：若法律研究工具（Westlaw, CourtListener, regulator sites, firm platform）查询返回很少或没有结果，报告发现并停止。不要未经询问从 web search 或模型知识填补空白。说出：``The search returned [N] results from [tool]. Coverage appears thin for [regime / topic]. Options: (1) broaden the search query, (2) try a different research tool, (3) search the web — results will be tagged `[web search — verify]` and should be checked against the issuing authority before relying, or (4) flag as unverified and stop. Which would you like?`` 由律师决定是否接受较低置信来源。
23. Source attribution tiering：给每个引用打来源标签。模型知识引用用三层级：`[settled]` 稳定、众所周知、不太可能变化的成文法和监管引用（例如 FTC Act § 5, GDPR Art. 33, CCPA § 1798.100），仍要在依赖其清关发布前验证但优先级较低；`[verify]` 真实但应验证的模型知识引用：具体实施法规、机构指南、执法行动、案件裁决、阈值、生效日期、2023 后修订；`[verify-pinpoint]` 精准引用（具体小节字母、卷/页号、段落号）伪造风险最高，应始终对照一手来源验证。工具检索引用保留来源标签（`[Westlaw]`, `[CourtListener]`, `[regulator site]` 或 MCP 工具名）；web-search 引用保持 `[web search — verify]`；用户提供引用保持 `[user provided]`。不要剥离或折叠标签。
24. 对平台政策使用 `[platform policy — verify against live docs]`：未抓取实时页面就引用的平台规则（Apple App Store Review Guidelines, Google Play policies, Meta / Snap / TikTok creator rules, ESRB / PEGI descriptors, card-network rules, app-store in-app-purchase policies）。绝不要对平台政策使用 `[settled]`；若发布依赖平台规则，依赖前在会话中抓取当前政策页面。
25. 默认类别 7 Marketing claims：关键问题——任何需要证实的声明？若 No marketing component 则 auto-skip。
26. 默认类别 8 AI governance：关键问题——是否以任何形式使用 AI？用例是否在登记册？AIA 做了吗？供应商 AI 条款审查了吗？若 Step 2 未检测到 AI 组件则 auto-skip。
27. 对每个类别输出：`### [N]. [Category]`；`**Checked:**` 你看了什么；`**Finding:**` `[Clear | Needs work | Blocker | Skipped]`；`**Detail:**` 问题是什么，如果有，具体到 PRD，不是泛泛而谈；`**Calibration:**` 按配置 CLAUDE.md，通常这是 FYI / 通常需要 X / 通常阻碍；`**Action:**` 必须发生什么，谁负责，何时完成。
28. Auto-skip honestly：若类别不适用，用一行原因说明；不要填充。
29. Sector hints：8 类框架是企业 SaaS 形态；若发布涉及以下行业，添加 overlay：对每个受影响类别，在基础框架问题旁问 overlay 问题，并在校准严重性前呈现行业特定制度。列出的行业和 overlay 制度包括：Children/minors：COPPA (US — operators of services directed to children under 13 or with actual knowledge), CA AADC / state age-appropriate design codes, platform age ratings (ESRB, PEGI), addictive-design scrutiny (NY Safe for Kids Act, CA SB 976 and analogs), FTC endorsement guides for kid-directed influencers。Gaming/loot boxes/in-game currency：Loot-box odds disclosure (CA AB 2476-style, Chinese / Korean / Belgian / Dutch regimes), ESRB / PEGI descriptors (In-Game Purchases, Loot Boxes, Real Gambling), state gambling law (games-of-chance vs. games-of-skill lines, sweepstakes promotions law), FTC dark-patterns guidance, platform-store policies (Apple, Google, console)。Financial/fintech：GLBA (NPI, Safeguards Rule, Reg P), state money transmission licensing (MTLs across ~50 states + DC), CFPB UDAAP, state UDAP, bank-partner sponsorship requirements and “true lender” exposure, Reg E / Reg Z where applicable, FINRA if brokerage。Health：HIPAA (if CE or BA), FDA SaMD / clinical decision support / general wellness exemption, state health-privacy (WA MHMDA, NV SB 370, CT HIPAA-analog), FTC Health Breach Notification Rule for non-HIPAA entities。Education：FERPA (if school or school-acting service provider), state student-privacy (NY Ed Law 2-d, IL SOPPA, CA SOPIPA + AB 1584), COPPA if K-12 data under 13。Employment/HR tech：Title VII, EEOC guidance on AI in hiring, ADA, state AI-hiring laws (IL AIVIA, NYC Local Law 144, CA / CO / UT / NJ analogs under consideration or enacted), state biometric laws (IL BIPA, TX / WA analogs) for video-interview and keystroke products, FCRA for background / verification products。Government/public sector：FedRAMP (Low / Moderate / High), FAR / DFARS, CMMC where applicable, state-level equivalents (StateRAMP), CJIS for law-enforcement data, IRS Publication 1075 for tax data, StateRAMP and state procurement rules。Consumer/retail/marketing：FTC Act § 5, Made-in-USA rule, Green Guides, CAN-SPAM, TCPA (with TCPA-Shaken/Stir for calls), state auto-renewal (ROSCA, CA ARL, NY GBL § 527-a [consumer] or GOL § 5-903 [B2B services] — verify which applies), state sweepstakes/promotions law。若行业提示触发且基础框架无专门类别覆盖，作为类别插入（例如 “6a. Sector overlay — children / COPPA + CA AADC”）。不要让它消失在类别 6 Regulatory 作为事后补充。
30. Step 4 校准严重性：对每个发现检查配置 CLAUDE.md 的校准表。若匹配 “usually FYI” 模式 → 记录，不阻碍；若匹配 “usually requires work” → 指定工作，从表估计时间线；若匹配 “usually blocks” → 显著标记，按升级表路由；若 novel（不在表中）→ 明确说明：“This doesn't match any pattern in the calibration — needs a human call”。
31. Step 5 组装 review：按配置 CLAUDE.md → Launch review process → output format 格式化。开头加 work-product header，来自配置 CLAUDE.md 的 `## Outputs`（因用户角色而异——见 `## Who's using this`）。若没有指定 house format，使用给定模板：`[WORK-PRODUCT HEADER — per plugin config ## Outputs]`，`# Launch Review: [Feature name]`，`**Reviewed:** [date] | **Launch date:** [date] | **Reviewer:** [name]`，`**PRD:** [link] | **Ticket:** [link if connected]`，`## Bottom line` 一段说明能否发布、必须先发生什么，`**Call:** [Clear to ship | Ship with conditions | Blocked pending X | Needs escalation]`。
32. 在发出 “Clear to ship” 或 “Ship with conditions” 前：读配置 CLAUDE.md 的 `## Who's using this`。若 Role 是 Non-lawyer：清关发布是法律行为；问是否已与律师审查？若 yes，继续；若 no，生成一页摘要给律师，包括发布、按类别发现、未决问题、条件后的剩余风险、发布前要问律师的三件事。若需要找律师，用专业监管机构推荐服务（美国州律师协会；英格兰和威尔士 SRA/Bar Standards Board；苏格兰/北爱尔兰/爱尔兰/加拿大/澳大利亚 Law Society；或同等机构）。没有明确 yes 不要越过此门到 “Clear to ship” 或 “Ship with conditions” 判断。“Blocked pending X” 和 “Needs escalation” 不需要此门。
33. 在 memo 中包含 `## Findings by category` 所有类别块，skip-noted 类别放底部；`## Action items` 表格：# | Item | Owner | Due | Blocking? Yes/No；`## Escalations` 如有——谁、为什么、按 escalation skill 起草；`## Notes for next time` 如果此发布暴露模式应更新校准表；`## Citation check` 说明案件、法规、规章或执法行动由 AI 模型生成，未对照一手来源验证；在依赖引用做发布决定前，用法律研究工具（Westlaw, CourtListener 或律所研究平台）验证准确性、good law 状态和当前执法姿态；每个引用来源标签显示来源，`verify` 标签伪造风险更高，应优先检查。
34. Step 6 产生两种输出——特权 memo 和脱敏 ticket comment。警告：将完整特权 memo 发到 Jira/Linear ticket（广泛分享给工程、PM 和其他非法律角色）可能放弃特权；不要把完整 memo 粘贴到广泛分享的 ticket。两者都是此技能必需输出，不可选。按顺序打印，中间有清晰分隔。
35. Output 1 — 特权 launch review memo：Step 5 组装的全部分析：work-product header、bottom line、按类别发现及风险理由、action items、escalations、notes for next time、citation check。这是内部法律工作产品。保留在 matter 文件（Drive、DMS 或配置指定 review docs 位置）。仅分发给特权圈内的人。
36. Output 2 — 脱敏 ticket-comment 块 — SAFE TO POST TO TRACKER：在 memo 之后，用清晰 `---` 分隔和标题 `## SAFE TO POST TO TRACKER (non-privileged)`，产生简短评论块，仅含：Launch status: green / yellow / red（即 Clear to ship / Ship with conditions / Blocked pending X / Needs escalation）；Conditions as action items：每个条件一个 bullet，写成给 PM/eng 的指令（add PIA link to ticket before ship、remove 'most accurate' language from homepage copy）；无法律推理；Deadline per condition；Owner per condition。脱敏块不含 work-product / privilege header、风险理由、内部法律讨论、监管引用、升级笔记。若条件措辞会泄露底层法律理论（“retaliation risk”），改写为动作（“route to GC before term date”）。
37. 提供示例分隔和块：`---` `## SAFE TO POST TO TRACKER (non-privileged)` `**Launch status:** Blocked pending conditions below.` `**Conditions:**` `- [ ] Attach completed PIA to ticket — Owner: [PM] — Due: [date]` `- [ ] Remove “most accurate on the market” copy from homepage draft — Owner: [Marketing] — Due: [date]` `- [ ] Confirm with GC before changing retention window — Owner: [PM] — Due: [date]`。粘贴 Output 2（仅 Output 2）到 tracker。仅将 Output 1 链接给特权圈内需要完整分析的人。
38. Handoffs：To marketing-claims-review：若有 substantial marketing 组件，hand off claims section。To feature-risk-assessment：若发现复杂到需要自己的文档（例如 novel AI feature, children's product），spawn deeper assessment。To privacy：若发布触及个人数据，运行 `/privacy-legal:use-case-triage [feature]`。若 triage 返回 PIA REQUIRED 或 DPIA MANDATORY，运行 `/privacy-legal:pia-generation [feature]`。不要只记 “PIA needed”——触发它。To AI governance：若 Step 2 检测到 AI 组件，运行 `/ai-governance-legal:use-case-triage [feature]`。若 triage 返回 CONDITIONAL，运行 `/ai-governance-legal:aia-generation [feature]`。若涉及新 AI 供应商，运行 `/ai-governance-legal:vendor-ai-review [vendor agreement]`。
39. 以 next-steps decision tree 结束：按 CLAUDE.md `## Outputs` 结束于 next-steps decision tree。根据此技能刚产生的内容定制选项——五个默认分支（draft the X, escalate, get more facts, watch and wait, something else）是起点，不是锁定。tree 是输出；律师选择。
40. 明确此技能不做：不替代与 PM 的对话；通常 PRD 是错的或过时的——review 暴露问题，人提问。不批准发布，只告知批准。不追溯校准；若此发布结果应更新校准表，由人更新 `~/.claude/plugins/config/claude-for-legal/product-legal/CLAUDE.md`。

适用边界 · 注意事项

• 当 `~/.claude/plugins/config/claude-for-legal/product-legal/CLAUDE.md` 仍含占位符时，先停止并补齐配置，不要继续审查。
• 它不能替代与 PM 的对话，也不能批准发布；PRD 可能错误或过时，最终决定需由人类做出。
• 若输出目的地不在特权圈内且尚未生成脱敏版本，不要直接分发完整特权 memo。