Evidence Graph Review

证据图谱审查

Use this skill when a reverse engineering, forensics, CTF, or authorized security case needs a defensible handoff. It audits the existing

work/<case>/

package without changing the case or touching a target.

当逆向工程、取证、CTF或授权安全案例需要可辩护的交付时，使用此技能。它会审计现有的

work/<case>/

包，不会修改案例或接触目标。

Scope

范围

This skill covers:

Scope metadata and target-activity readiness
Evidence record structure and reproducibility fields
References from work items and timeline entries to Evidence
Structured Findings and Paths in report Markdown
Optional SHA-256 verification for case-local artifacts
A Markdown or JSON review result for a report handoff

It MUST NOT perform reconnaissance, exploitation, dynamic instrumentation, or target changes. Those actions belong to the routed analysis skill and require the case scope gate.

本技能涵盖：

范围元数据和目标活动就绪情况
证据记录结构和可复现性字段
工作项和时间线条目到证据的引用
报告Markdown中的结构化结论（Findings）和路径（Paths）
案例本地工件的可选SHA-256验证
用于报告交付的Markdown或JSON审查结果

禁止执行侦察、利用、动态插装或修改目标的操作。这些操作属于路由分析技能，需要案例范围准入。

ACTION REQUIRED

必须执行的操作

```
NOW
```
: read
```
../field-journal/precedent-reverse.md
```
and confirm that this is a review of an existing authorized case package.
```
NOW
```
: confirm the case path and choose read-only review mode.
```
NEXT
```
: read
```
../tool-index.md
```
; this skill uses only Python 3 standard library and does not require bootstrap.

NEXT

: run

python3 scripts/review_case.py <case-root> --format markdown

.

```
ACT
```
: resolve every error, then rerun the review before claiming a handoff is complete.

```
立即
```
：阅读
```
../field-journal/precedent-reverse.md
```
，确认本次审查针对的是已授权的现有案例包。
```
立即
```
：确认案例路径并选择只读审查模式。
```
下一步
```
：阅读
```
../tool-index.md
```
；本技能仅使用Python 3标准库，无需引导安装。

下一步

：运行

python3 scripts/review_case.py <case-root> --format markdown

。

```
执行
```
：解决所有错误，然后重新运行审查，再确认交付完成。

Tool dependencies

工具依赖

Tool	Required	Purpose	Auto-bootstrap
Python 3.9+	Yes	Runs the read-only case review script	No, use the platform Python installation

No network access or third-party package is required.

工具	是否必需	用途	自动引导安装
Python 3.9+	是	运行只读案例审查脚本	否，使用平台自带的Python安装版本

无需网络访问或第三方包。

Workflow

工作流程

Phase 1: Intake

阶段1：接收

Run the review against the existing case directory:

bash

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

Confirm that

scope.md

,

timeline.md

,

workitems.md

, and

evidence/

are present. A non-strict review reports scope warnings while a strict review treats warnings as handoff blockers.

针对现有案例目录运行审查：

bash

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

确认

scope.md

、

timeline.md

、

workitems.md

和

evidence/

已存在。非严格审查会报告范围警告，而严格审查会将警告视为交付障碍。

建议下一步（选一个编号）

修复 scope.md 中的授权、范围或 network_profile 字段
继续检查 Evidence 记录的可复现命令和来源
导出当前 review 结果并附到阶段性报告
换 JSON 输出接入 CI 或其他审查工具
暂停，先确认审查范围

修复 scope.md 中的授权、范围或 network_profile 字段
继续检查 Evidence 记录的可复现命令和来源
导出当前 review 结果并附到阶段性报告
换 JSON 输出接入 CI 或其他审查工具
暂停，先确认审查范围

Phase 2: Traceability

阶段2：可追溯性审查

Review the checks for:

Evidence IDs that do not exist
Findings without
```
evidence_ids
```
Paths without an allowed
```
path_type
```
or Evidence reference
Work items and timeline entries pointing to unknown Evidence
Unlinked Evidence records
Validated Findings with low confidence

An offline observation may use

repro_command: n/a

only when its

notes

field explicitly documents the offline limitation.

Use JSON when another tool needs stable fields:

bash

python3 skills/case-review/scripts/review_case.py work/<case> --format json

检查以下内容：

不存在的证据ID
未关联
```
evidence_ids
```
的结论（Findings）
未包含合法
```
path_type
```
或证据引用的路径（Paths）
指向未知证据的工作项和时间线条目
未关联的证据记录
置信度低的已验证结论（Findings）

仅当

notes

字段明确记录离线限制时，离线观测才可使用

repro_command: n/a

。

当其他工具需要稳定字段时，使用JSON格式：

bash

python3 skills/case-review/scripts/review_case.py work/<case> --format json

建议下一步（选一个编号）

补写缺失的 Evidence，并保留原始命令
将候选 Finding 绑定到 Evidence 后重新审查
为调用链或攻击链补充 P-id 和 Path 步骤
生成 Markdown handoff summary
换回 PRIMARY skill 继续分析

补写缺失的 Evidence，并保留原始命令
将候选 Finding 绑定到 Evidence 后重新审查
为调用链或攻击链补充 P-id 和 Path 步骤
生成 Markdown handoff summary
换回 PRIMARY skill 继续分析

Phase 3: Fixity verification

阶段3：完整性验证

When an Evidence record contains both

content_hash

and

artifact_path

, verify the case-local artifact:

bash

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

The script accepts

sha256:<64 hex characters>

and checks that the artifact remains inside the case root. A hash mismatch is a hard failure.

The PowerShell Evidence helper can record a hash while appending a record:

powershell

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

当证据记录同时包含

content_hash

和

artifact_path

时，验证案例本地工件：

bash

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

脚本接受

sha256:<64 hex characters>

格式，并检查工件是否仍在案例根目录内。哈希不匹配属于严重失败。

PowerShell证据助手可在添加记录时同时记录哈希：

powershell

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

建议下一步（选一个编号）

修复 hash mismatch 或替换已污染的工作副本
为未固定的原始文件补充 SHA-256 和 artifact_path
继续进入报告生成阶段
导出 JSON 结果供 CI 保存
暂停并请求人工复核

修复 hash mismatch 或替换已污染的工作副本
为未固定的原始文件补充 SHA-256 和 artifact_path
继续进入报告生成阶段
导出 JSON 结果供 CI 保存
暂停并请求人工复核

Phase 4: Handoff

阶段4：交付

Use strict mode before a final report or specialist handoff:

bash

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

The command is read-only with respect to the case unless shell redirection is explicitly used to save its output. The review is not legal advice and does not replace organizational evidence handling procedures.

在最终报告或专家交付前使用严格模式：

bash

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

除非明确使用shell重定向保存输出，否则该命令对案例是只读的。本审查不构成法律建议，也不能替代组织的证据处理流程。

建议下一步（选一个编号）

将通过的 review 结果交给
```
docs-generator/
```
生成正式报告
回到 PRIMARY skill 补齐新的分析证据
归档 Markdown 和 JSON review 结果
暂停并请求人工复核

将通过的 review 结果交给
```
docs-generator/
```
生成正式报告
回到 PRIMARY skill 补齐新的分析证据
归档 Markdown 和 JSON review 结果
暂停并请求人工复核

Language behavior contract

语言行为约定

Internal reasoning, tool selection, and phase control: English.
User-visible messages, section labels, reports, and next-step menus: Chinese unless the user requests another language.
Default bilingual labels place Chinese first and English second, separated by
```
/
```
.

内部推理、工具选择和阶段控制：使用英文。
用户可见的消息、章节标签、报告和下一步菜单：默认使用中文，除非用户要求其他语言。
默认双语标签以中文在前、英文在后，用
```
/
```
分隔。

Bootstrap boundary

引导安装边界

This skill has no third-party dependency. If Python 3 is unavailable, the only allowed recovery action is the repository bootstrap path when a Python capability is registered for the current platform. If no such capability is registered, stop and report the missing runtime. Do not guess executable paths, download packages, or perform a manual install from inside this skill.

本技能无第三方依赖。如果Python 3不可用，唯一允许的恢复操作是当当前平台已注册Python能力时，使用仓库引导路径。如果未注册此类能力，请停止并报告缺失的运行时。请勿在本技能内猜测可执行路径、下载包或手动安装。

Routing context

路由上下文

Upstream entry: any reverse, forensics, CTF, or authorized security skill that has produced a case package.

Downstream exit:

docs-generator/

for a formal report, or the original PRIMARY skill when the graph is incomplete.

Related modules:

ops/evidence-finding-path.md

,

ops/timeline-workitem.md

,

digital-forensics/

,

reverse-engineering/

, and

docs-generator/

.

上游入口：任何已生成案例包的逆向、取证、CTF或授权安全技能。

下游出口：用于生成正式报告的

docs-generator/

，或当图谱不完整时返回原始PRIMARY技能。

相关模块：

ops/evidence-finding-path.md

、

ops/timeline-workitem.md

、

digital-forensics/

、

reverse-engineering/

和

docs-generator/

。

References

参考资料

任务完成自检

我是否审查了 scope.md、timeline.md、workitems.md 和 evidence/？
所有 Finding 是否引用了现存 Evidence？
所有 Path 是否包含合法 path_type 和 Evidence 引用？
是否执行了 hash verification，或记录了未执行原因？
是否以 strict 模式重新运行并保存了 review 结果？

我是否审查了 scope.md、timeline.md、workitems.md 和 evidence/？
所有 Finding 是否引用了现存 Evidence？
所有 Path 是否包含合法 path_type 和 Evidence 引用？
是否执行了 hash verification，或记录了未执行原因？
是否以 strict 模式重新运行并保存了 review 结果？

case-review

Original

Translation

Evidence Graph Review

证据图谱审查

Scope

范围

ACTION REQUIRED

必须执行的操作

Tool dependencies

工具依赖

Workflow

工作流程

Phase 1: Intake

阶段1：接收

建议下一步（选一个编号）

建议下一步（选一个编号）

Phase 2: Traceability

阶段2：可追溯性审查

建议下一步（选一个编号）

建议下一步（选一个编号）

Phase 3: Fixity verification

阶段3：完整性验证

建议下一步（选一个编号）

建议下一步（选一个编号）

Phase 4: Handoff

阶段4：交付

建议下一步（选一个编号）

建议下一步（选一个编号）

Language behavior contract

语言行为约定

Bootstrap boundary

引导安装边界

Routing context

路由上下文

References

参考资料

任务完成自检

任务完成自检