域名事件时间线
同一主机重复出现时如何合并而不丢历史
相同主机复现时追加观察而不生成假新事件。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
同一个主机可能在一天内被多次打开，也可能隔数周重新出现。每次都建立新事件会制造虚假的增长曲线；把所有观察压进一行又会丢失环境、结果与时间差异。归并的关键不是名称看起来一样，而是经过规范化后对象键一致，并且每次观察都能作为独立子记录被还原。主事件负责身份稳定，观察行负责保存发生过什么。
本文给出重复事件的判定、追加和拆分规则。规范化只处理不会改变主机含义的表示差异，例如拉丁字母大小写或末尾点；相似字符、不同标签层级和顶级域变化不得合并。证据不足时不靠品牌词推测对象，比较键写UNKNOWN。归并完成后，首次锚点保持最早合格观察，末次复核来自最新合格行，中间历史继续存在。
建立不会吞掉差异的对象键
对象键由完整主机的规范化值生成，但规范化步骤必须可解释。先保存地址栏原文，再执行小写转换、去除末尾根点和国际化编码对照；每一步输出单独字段。连字符位置、标签数量、Unicode脚本和顶级域都属于身份信息，不得被清理。若一个工具把两个不同字符映射成相同视觉结果，只能增加相似警告，不能合并事件。
比较时不包含路径与参数，因为同一主机可以承载多个页面；这些字段留在观察行。端口若显式出现则需要保留，因为它可能改变访问上下文。主机原文无法取得、只看见页面标题或二维码图案时，不生成对象键。编辑可以先存线索材料，等到真实目标可见后再决定是否与旧事件关联。
- 规范化步骤逐项可见
- 字符和标签差异不被清理
- 路径不进入主机对象键
- 隐藏目标不执行归并
相同对象追加观察而不创建假新事件
新样本的对象键与既有记录完全一致后，系统提示追加观察。编辑填写观察时刻、环境、来源介质、响应结果、证书摘要引用和跳转实验号。首次观察字段不可编辑，最近复核由最新通过审核的观察自动计算。重复打开同一保存截图、浏览器自动恢复标签或脚本轮询，不算独立观察，必须注明样本产生方式。
追加行可以记录不同结果，例如第一次返回普通页面、第二次出现连接警告、第三次无法解析。台账并列这些现象，不使用多数票选出正常状态。若两次实验改变了网络和浏览器，就把变量差异写在环境栏；若无法解释冲突，主事件显示观察不一致，而不是只展示最后一次成功。
- 追加行拥有独立采集动作
- 首次时间不可编辑
- 自动刷新不增加样本
- 冲突结果并列保存
出现身份字段差异时必须拆分
若主机标签、字符码位、显式端口或顶级域发生变化，新样本不再属于原对象，即使页面名称和配色完全相同。编辑建立新事件，并可通过关系字段写疑似相关、来源相同或前后跳转相邻；这些关系只描述观察，不证明共同运营。关系依据缺失时填UNKNOWN，不能因为关键词相同就自动建立。
国际化域名需要同时比较显示值与ASCII编码。两个显示字符串相似但编码不同，应拆开；同一编码在不同浏览器显示形态不一致，可以在一个对象下追加环境观察。证书更换通常不改变主机对象键，应进入证书事件；但证书告警伴随主机变化时，两条时间线分别记录，并通过实验号关联。
- 身份字段变化即拆分
- 视觉相似不触发合并
- 国际化编码参与比较
- 证书和主机各自建账
时间窗口帮助发现重复但不决定归并
系统可以在录入时搜索相同对象键，提示过去七天、三十天或全部历史中的候选。时间接近只是提高复核效率，不是合并依据；隔一年再次出现的相同主机仍可追加到旧事件，只要对象键可验证。反过来，几秒内连续出现的两个不同主机也必须分开。候选列表显示首次、末次和证据状态，避免编辑误选同名记录。
若旧事件已经撤回，新观察不能直接恢复旧状态。编辑先判断撤回原因：如果撤回针对错误对象键，新样本应建新事件；如果撤回只是旧证据不合格，而新材料能够确认同一对象，则创建替代事件并引用旧记录。所有决定写明审核时间和理由，禁止为了保持单一时间线而删除撤回节点。
- 时间仅用于候选检索
- 远期复现仍可追加
- 撤回记录不被直接复活
- 归并决定保留理由
用三个合成案例验证归并边界
案例一：主机甲上午由地址栏复制，下午在另一浏览器复现，规范化值一致，两次画面均完整。处理方式是主事件不变，新增下午观察并记录浏览器差异。案例二：第二次字符串多出一个连字符，哪怕标题相同也建立主机乙事件。案例三：只收到声称来自主机甲的裁剪图片，因顶级域不可见，材料进入线索区，关联状态UNKNOWN。
可再演练显式端口：首次没有端口，复查时显示非常规端口。编辑不把它当作纯路径变化，而是创建独立访问上下文，并在关系栏说明主机文本相同。以上样例只测试数据模型，不是当前域名记录。发布前应扫描合成编号和示例时间，确保它们不会出现在事件列表或结构化数据中。
- 连字符变化生成新对象
- 裁剪图不建立正式关联
- 端口差异保留上下文
- 示例不进入公开事件源
归并后的页面仍要展示每轮差异
主事件页顶部概括对象与时间跨度，下方按时间倒序列观察。每行显示实验号、采集方式、环境、响应类别和证据强度，展开后才展示脱敏字段。不要只给最近状态，因为那会掩盖早期冲突；也不要把多次观察拼成一个平均成功率，样本量和条件不足以支持这种计算。
列表页可以显示观察次数，但旁边必须标明其中合格、待核和冲突的数量。一次含多个跳转节点的实验仍算一轮观察，节点数在路径台账中展示。缓存页面、重复证据和撤销的错误行不进入有效计数，却保留审核痕迹。读者应能从任何观察回到主事件，也能查看它引用的证书或跳转实验。
- 每轮观察独立可展开
- 不计算误导性成功率
- 有效与待核数量分开
- 跨台账引用保持双向
审查归并质量并处理不确定关系
审核者随机抽取追加行，重新计算对象键并比较原始字段；若结果与主事件不一致，立即撤销归并并创建拆分记录。随后检查首次时间是否仍指向最早合格证据、末次值是否来自已审核样本，以及被排除的重复采集是否有原因。任何手工改键都要双人复核，避免一次输入错误影响整条历史。
最终记录只说明相同主机文本在若干特定时刻被观察。它不推出对象持续存在、服务始终可用或不同页面属于同一主体。无法确定两个材料是否同源时，让它们各自存在并把关系写UNKNOWN，成本虽高于强行合并，却能保住证据边界。安全告警出现时停止采集，后续观察需另建实验，不能为补齐次数而继续。
- 对象键可由审核者重算
- 错误归并通过拆分纠正
- 不确定关系保留UNKNOWN
- 告警后不继续补样本
