證據圖審查
在逆向工程、數位鑑識、CTF 或授權安全案件需要防禦性移交時使用此技能。它會審查現有的 work/<case>/ 套件，但不會變更案件或接觸目標。
範圍
此技能涵蓋：
- 範圍元數據與目標活動就緒狀態
- 證據記錄結構與可復現性欄位
- 工作項目與時間軸條目對證據的引用
- 報告 Markdown 中的結構化發現與路徑
- 可選的案件本地工件 SHA-256 驗證
- 用於報告移交的 Markdown 或 JSON 審查結果
它不得執行偵察、漏洞利用、動態檢測或目標變更。這些操作屬於路由分析技能，且需要案件範圍閘道。
需要進行的操作
現在：讀取../field-journal/precedent-reverse.md並確認這是對現有授權案件套件的審查。現在：確認案件路徑並選擇唯讀審查模式。下一步：讀取../tool-index.md；此技能僅使用 Python 3 標準庫，無需引導程式。下一步：執行python3 scripts/review_case.py <case-root> --format markdown。執行：解決所有錯誤，然後在聲明移交完成之前重新執行審查。
工具依賴
| 工具 | 必要 | 用途 | 自動引導 |
|---|---|---|---|
| Python 3.9+ | 是 | 執行唯讀案件審查腳本 | 否，請使用平台 Python 安裝 |
無需網路存取或第三方套件。
工作流程
階段 1：導入
對現有案件目錄執行審查：
python3 skills/case-review/scripts/review_case.py work/<case> --format markdown
確認 scope.md、timeline.md、workitems.md 和 evidence/ 存在。非嚴格審查會報告範圍警告，而嚴格審查則將警告視為移交阻礙。
建議下一步（選一個編號）
- 修復 scope.md 中的授權、範圍或 network_profile 字段
- 繼續檢查證據記錄的可復現命令和來源
- 導出當前審查結果並附到階段性報告
- 換 JSON 輸出接入 CI 或其他審查工具
- 暫停，先確認審查範圍
階段 2：可追溯性
審查以下檢查：
- 不存在的證據 ID
- 缺少
evidence_ids的發現 - 不包含允許的
path_type或證據引用的路徑 - 指向未知證據的工作項目與時間軸條目
- 未連結的證據記錄
- 置信度低的已驗證發現
離線觀測只有在 notes 欄位明確記錄離線限制時，才能使用 repro_command: n/a。
當另一個工具需要穩定欄位時，使用 JSON：
python3 skills/case-review/scripts/review_case.py work/<case> --format json
建議下一步（選一個編號）
- 補寫缺失的證據，並保留原始命令
- 將候選發現綁定到證據後重新審查
- 為調用鏈或攻擊鏈補充 P-id 和路徑步驟
- 生成 Markdown handoff summary
- 換回主要技能繼續分析
階段 3：固定性驗證
當證據記錄同時包含 content_hash 和 artifact_path 時，驗證案件本地工件：
python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict
腳本接受 sha256:<64 個十六進制字元> 並檢查工件是否仍在案件根目錄內。哈希不匹配是嚴重失敗。
PowerShell 證據協助工具可以在附加記錄的同時記錄哈希：
powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "樣本哈希" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"
建議下一步（選一個編號）
- 修復哈希不匹配或替換已污染的工作副本
- 為未固定的原始文件補充 SHA-256 和 artifact_path
- 繼續進入報告生成階段
- 導出 JSON 結果供 CI 保存
- 暫停並請求人工複核
階段 4：移交
在最終報告或專家移交之前使用嚴格模式：
python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md
除非使用 shell 重新導向明確保存其輸出，否則該命令對案件是唯讀的。此審查不構成法律建議，也不取代組織的證據處理程序。
建議下一步（選一個編號）
- 將通過的審查結果交給
docs-generator/生成正式報告 - 回到主要技能補齊新的分析證據
- 歸檔 Markdown 和 JSON 審查結果
- 暫停並請求人工複核
語言行為合約
- 內部推理、工具選擇和階段控制：英文。
- 用戶可見訊息、區段標籤、報告和下一步選單：中文，除非用戶要求其他語言。
- 預設雙語標籤先放置中文，再放置英文，以
/分隔。
引導邊界
此技能無第三方依賴。如果 Python 3 不可用，唯一允許的復原操作是儲存庫引導路徑（當目前平台已註冊 Python 功能時）。如果未註冊此類功能，則停止並報告缺少執行環境。請勿從此技能內部猜測可執行檔路徑、下載套件或執行手動安裝。
路由上下文
上游入口：任何已產出案件套件的逆向、數位鑑識、CTF 或授權安全技能。
下游出口：用於正式報告的 docs-generator/，或當圖譜不完整時的原始主要技能。
相關模組：ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/、docs-generator/。
參考資料
任務完成自檢
- 我是否審查了 scope.md、timeline.md、workitems.md 和 evidence/？
- 所有發現是否引用了現存證據？
- 所有路徑是否包含合法 path_type 和證據引用？
- 是否執行了哈希驗證，或記錄了未執行原因？
- 是否以嚴格模式重新運行並保存了審查結果？