审计方法公开
截图、路径和会话参数的脱敏归档标准
保留事件链完整性同时移除敏感参数。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
事件证据需要保留主机、路径关系、截图时间和前后节点，又可能夹带会话参数、账号头像、通知、二维码或设备信息。脱敏归档不是简单裁剪图片，而是一条可审计流程：先在受控位置冻结原件，再生成最小公开副本，记录每次遮盖和字段提取，最后用清单把副本重新连接到事件。原件与公开件用途不同，不能互相覆盖。处理工作站应关闭云端自动同步、最近文件预览和剪贴板历史，临时目录在任务结束后按清单清理。若工具会把原图上传到外部服务，默认禁止使用，除非已有明确的数据处理协议、用途限制和审批记录。编辑也不能用个人通讯工具转发待处理画面。
本标准不要求保存Cookie、令牌、密码、私钥或完整网络日志。发现这些内容时先隔离，能安全提取必要字段才继续；否则证据状态为受限或UNKNOWN。路径只保留完成核验所需结构，查询值默认删除。本文说明截图处理、文本脱敏、文件命名、访问控制和销毁，让事件链完整而个人资料最少。脱敏不是一次性动作；缩略图、社交分享图、搜索缓存、备份和错误日志都可能重新暴露原值。发布清单因此逐一检查派生文件，并在更正时能够按证据号定位所有副本。若某个副本位置无法确认，事件暂停公开，直到泄露面得到评估。复核人员应使用一份专门的泄露测试清单，尝试复制文字、放大遮盖边缘、读取图片元数据和查看缓存预览。只有这些路径都不能还原敏感内容，副本才可标公开；测试结果与工具版本一并保存。若格式转换工具自动嵌入作者或工作站名称，重新导出并复查，不用简单改扩展名掩盖。
原件进入隔离区前先建立接收记录
接收表记录事件号、材料类型、取得方式、接收时刻、提交者角色、预期用途和初步敏感级别。文件先计算校验摘要并设只读，不立即改名覆盖。来源若无法合法使用或包含不必要的他人内容，停止处理，只留文字缺口；未经核验的外部抓图不进入公开素材库。
接收环节不要求用户发送账号画面。编辑主动采集也只限公开可见区域，不进入登录后页面。材料通过聊天转发时，先去除聊天身份和上下文，再判断是否仍能证明事件。若原始来源不可追溯，标线索，不能升级为核心证据。
- 接收记录先于编辑动作
- 原件只读并计算摘要
- 不合法素材停止处理
- 转发材料注明来源缺口
截图制作不可逆公开副本
公开截图保留地址栏主机、必要提示、节点关系和观察时间。裁掉无关标签，像素化账号头像、通知、订单、联系人、二维码和设备名称。遮盖必须烘焙进新图，不能依赖可删除图层。完成后放大检查边缘、缩略图和元数据预览，防止隐藏内容仍可恢复。
一张图无法同时保留上下文和隐私时，拆成主机图与提示图，并用事件号和顺序连接。裁剪后若顶级域、警告标题或时间不可读，该副本不能承担核心字段。编辑可以用文字表补充，但表格值必须从原件重读，不能凭裁剪前记忆填写。
- 遮盖烘焙进新文件
- 元数据和缩略图一并检查
- 拆图保留顺序关系
- 裁剪不破坏核心字段
路径和参数按最小用途处理
地址拆为方案、主机、端口、路径段、参数名、参数值和片段。公开事件通常保留主机与必要路径摘要，参数值全部删除；参数名若能暴露业务或个人属性，也以类别替代。会话、追踪、邀请和一次性键值不进入正文、文件名或日志。
路径中包含用户名、订单号或本地目录时，使用稳定占位符并记录替换规则。脱敏前后不能做可点击链接，页面只显示文本摘要。若删除参数会使两个节点无法区分，保留内部事件号作为关系键，不保留秘密值。未知参数默认敏感，分类为UNKNOWN并遮盖。
- 地址按组件拆分
- 参数值默认全部删除
- 个人路径段使用占位符
- 未知参数按敏感处理
归档清单连接原件、副本与事件
每份材料拥有证据号，清单列原件摘要、公开副本摘要、事件号、节点号、处理动作、工具版本、操作者和复核者。公开页面只暴露证据号及可见范围，不显示服务器路径。副本被重新压缩或裁切时创建新版本，不替换旧摘要。
关系校验确保一个节点引用的证据确实包含该节点字段。证书截图不能被挂到按钮来源，二维码画面也不能证明最终主机。引用错误通过更正事件修复，旧关系保留撤回标记。清单定期做完整性检查，文件缺失时相关证据状态立即降级。
- 原件与副本拥有不同摘要
- 公开页面不泄露存储路径
- 版本变化不覆盖旧文件
- 缺失文件触发状态降级
访问、保留与销毁规则分级
公开副本可随文章发布；受限原件只允许承担审核职责的人员查看；含秘密且无核验价值的材料应尽快安全删除。保留期依据事件争议、法律和修订需要制定，不以无限期作为默认。访问日志记录谁在何时因何任务查看，不记录文件中的敏感内容。
到期销毁前确认没有未完成争议或更正引用，随后生成销毁记录和文件摘要。删除原件后，公开副本仍可保留时要更新清单状态。备份也在范围内，不能只删主存储。若无法确认所有副本位置，销毁状态为UNKNOWN，并暂停对外声称已删除。
- 访问按职责最小授权
- 保留期不是无限默认
- 销毁前检查引用关系
- 备份纳入删除范围
合成材料演练脱敏质量
训练截图A含主机甲、通知、头像和带令牌参数。公开版保留甲与警告文字，删除参数值并像素化个人区域，元数据清空；两名复核者尝试从副本恢复信息，均失败才通过。训练路径B含订单号，使用路径段占位，不把真实格式复制到示例。
训练文件C经过遮盖但缩略图仍显示原画面，处理应判失败并重新导出。文件D裁切过度，顶级域不可见，只能做辅助图，主机字段UNKNOWN。这些样例放在隔离测试目录，构建流程用清单阻止其进入正式证据和搜索索引。
- 脱敏副本接受恢复测试
- 缩略图泄露视为失败
- 过度裁切降低证据等级
- 训练目录被构建排除
发布前做内容与隐私双重审核
内容审核从公开副本重读主机、时间和提示，确认它支持文章所写观察；隐私审核检查像素、元数据、参数、文件名、替代文本和缓存。两项由不同角色完成，任何一项失败都不发布。替代文本描述事件内容，不重复被遮盖的信息。
文章不提供原始文件、可执行二维码、外部路径或用户材料提交入口。证据缺失时写UNKNOWN，不用邻近事件截图补位。安全告警和敏感索取发生后，只保留停止所需最少字段。可靠归档的目标不是收集更多，而是在尽量少的数据中维持可追溯事件链。
- 内容与隐私分角色审核
- 替代文本不泄露遮盖项
- 正文不提供原件入口
- 缺图不借用邻近事件
