把指南转化为安全试用流程
在使用真实数据前，请先用合成示例完成这些步骤。勾选状态只保留在当前标签页。
打包证据前先限定目的与保留范围
证据包用于重建一个明确事件，而不是收集所有日志。应先写明时间范围、系统、事件编号、决策负责人和预期接收者。
真实 token、会话 Cookie、私钥、客户数据和不必要的正文不应进入共享包。访问受控的原始副本应与脱敏工作副本分开保存。
- 用一句话定义事件问题。
- 选择最短必要时间范围。
- 分开原始副本与共享副本。
把密钥扫描用于排序，而不是最终判定
差异和文本扫描可标记密钥形态、高熵字符串与已知前缀。没有发现不代表没有密钥；自定义格式、拆分值和二进制文件仍需单独检查。
每项发现都应记录删除、部分显示、固定占位符或仅保留在授权渠道的决定。统一占位符本身也可能产生关联风险。
哈希验证完整性，而非来源
SHA-256 摘要有助于比较共享文件在传输中是否变化，但不能证明创建者、内容真实性或来源设备未被攻陷。
清单应包含文件名、字节大小、哈希、生成时间和脱敏规则版本。文件名与时间仍可能泄露上下文，因此清单也需要访问控制。
在时间线中区分观察、推断与义务
每条记录应分别保存来源时区、观察到的事件、置信度和缺失信息。不要把‘泄露开始’之类的推断当作原始日志事件。
通知时间线工具只提供日期计算和检查问题，不能决定法律上的知悉时间或义务。授权团队必须结合现行法律、合同和事件事实作出结论。
此工作流中的工具与职责
每个工具提供不同证据，任何单一输出都不能批准整个流程。请从合成示例开始，执行验收检查；超过边界时不要进入下一步。
- Git Diff 密钥扫描器
- 密钥脱敏规划器
- 文件哈希计算与比较器
- 泄露通知时间线
把指南转化为可重复的检查流程
请使用这套包含 4 个工具的检查计划来落实《无需上传日志的安全事件证据交接》。目标：通过本地密钥预扫描、脱敏计划、哈希比较和有界时间线准备安全事件包的指南。 请先用安全示例代替真实数据，并记录每一步的预期结果与验收决定。
Git Diff 密钥扫描器
- 准备
- Git Diff 密钥扫描器的输入应为您有权检查的、已合成或最小化的代码、配置、标识符或文件内容。本次处理目标是：仅在新增 diff 行中查找高置信秘密模式。处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。Git Diff 密钥扫描器为实现“仅在新增 diff 行中查找高置信秘密模式”采用以下可解释方法：内容不会执行；只应用可解释的静态模式和受限的浏览器操作。
- 验收检查
- 验收检查：接受Git Diff 密钥扫描器的结果前，请完成在源位置人工复核，并使用适当的专业安全工具或授权流程独立验证；核验证据应与“仅在新增 diff 行中查找高置信秘密模式”这一目标一致。Git Diff 密钥扫描器的使用边界：代码不会执行；未发现问题并不能证明不存在漏洞。
- 预期输出
- Git Diff 密钥扫描器完成后会提供证据位置、严重程度、误报可能性和下一步核验操作，并围绕“仅在新增 diff 行中查找高置信秘密模式”组织结果。. 仅在新增 diff 行中查找高置信秘密模式。
密钥脱敏规划器
- 准备
- 密钥脱敏规划器的输入应为您有权检查的、已合成或最小化的代码、配置、标识符或文件内容。本次处理目标是：将密钥、令牌和连接字符串候选整理为按类型脱敏计划。处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。密钥脱敏规划器为实现“将密钥、令牌和连接字符串候选整理为按类型脱敏计划”采用以下可解释方法：内容不会执行；只应用可解释的静态模式和受限的浏览器操作。
- 验收检查
- 验收检查：接受密钥脱敏规划器的结果前，请完成在源位置人工复核，并使用适当的专业安全工具或授权流程独立验证；核验证据应与“将密钥、令牌和连接字符串候选整理为按类型脱敏计划”这一目标一致。密钥脱敏规划器的使用边界：这只是预检查，不保证身份、安全或法规合规。
- 预期输出
- 密钥脱敏规划器完成后会提供证据位置、严重程度、误报可能性和下一步核验操作，并围绕“将密钥、令牌和连接字符串候选整理为按类型脱敏计划”组织结果。. 将密钥、令牌和连接字符串候选整理为按类型脱敏计划。
文件哈希计算与比较器
- 准备
- 文件哈希计算与比较器的输入应为类型受支持且不超过公开大小限制的本地文件。本次处理目标是：在本地计算并比较一个或两个文件的 SHA-256。处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。文件哈希计算与比较器为实现“在本地计算并比较一个或两个文件的 SHA-256”采用以下可解释方法：文件在浏览器内存中读取，并在不覆盖原文件的情况下生成新输出。
- 验收检查
- 验收检查：接受文件哈希计算与比较器的结果前，请完成保留原文件，并检查输出能否正常打开、预期页数或帧数、大小及可见质量；核验证据应与“在本地计算并比较一个或两个文件的 SHA-256”这一目标一致。文件哈希计算与比较器的使用边界：这只是预检查，不保证身份、安全或法规合规。
- 预期输出
- 文件哈希计算与比较器完成后会提供可下载的新文件、大小与格式指标，以及公开的处理限制，并围绕“在本地计算并比较一个或两个文件的 SHA-256”组织结果。. 在本地计算并比较一个或两个文件的 SHA-256。
泄露通知时间线
- 准备
- 泄露通知时间线的输入应为包含明确格式和时区的日期、时间、时长或计划表达式。本次处理目标是：显示发现后的经过时间与待记录复核的决策节点。处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。泄露通知时间线为实现“显示发现后的经过时间与待记录复核的决策节点”采用以下可解释方法：日历、时区和计入规则会分开计算。
- 验收检查
- 验收检查：接受泄露通知时间线的结果前，请完成核对 UTC 对应值、夏令时切换、边界日期以及适用的官方日历规则；核验证据应与“显示发现后的经过时间与待记录复核的决策节点”这一目标一致。泄露通知时间线的使用边界：这只是预检查，不保证身份、安全或法规合规。
- 预期输出
- 泄露通知时间线完成后会提供规范化时间值、计算摘要和时区歧义警告，并围绕“显示发现后的经过时间与待记录复核的决策节点”组织结果。. 显示发现后的经过时间与待记录复核的决策节点。
Git Diff 密钥扫描器适用以下边界：Git Diff 密钥扫描器的使用边界：代码不会执行；未发现问题并不能证明不存在漏洞。 如果未满足该条件，请勿把输出传递到工作流的下一步。
落实《无需上传日志的安全事件证据交接》时，请记录工具名称、所选设置、浏览器版本，以及“使用Git Diff 密钥扫描器完成：仅在新增 diff 行中查找高置信秘密模式”的接受或拒绝理由，而不是敏感内容。这样既能重复检查，也不会复制真实数据。