docs(GOV-010): 完善安全性能与架构规范

docs/governance/prd-standard.md

@@ -24,6 +24,10 @@ PRD 是每个业务功能的产品需求事实来源，回答“为谁解决什
 12. 验收标准：使用 Given/When/Then 或等价可测试描述。
 13. 风险与依赖：外部数据、技术、成本和上线依赖。
 14. 发布范围：本次、后续和回退触发条件。
+15. 安全需求与信任边界：资产、数据、访问边界、滥用场景和残余风险。
+16. 性能目标与容量假设：延迟、吞吐、新鲜度、数据量或资源预算中的适用目标。
+17. 关联模块与同步修改：可能影响的功能、契约、数据、缓存、进程、部署、测试和文档。
+18. 新增依赖评估：用途、替代、安全、许可证、体积或运行成本、维护和退出方式。
 
 ## 3. 编写规则
 
@@ -31,4 +35,5 @@ PRD 是每个业务功能的产品需求事实来源，回答“为谁解决什
 - 禁止用“体验更好”“速度较快”等不可验证表达。
 - UI 布局不是需求本身；应先写用户需要识别和完成的行为。
 - PRD 发生实质变化时更新版本和变更记录，并重新确认设计与测试影响。
+- 缺陷修复也必须说明用户可观察问题、受影响范围、同步修改和安全性能边界，不能只记录代码位置。
 - 已发布 PRD 不删除旧结论，废弃需求标记 `superseded` 并说明替代项。