finding-discipline

用途：在记录、宣称严重性或写入报告任何安全发现之前，约束判定流程，防止把状态码、反射字符串或直觉当作漏洞。核心铁律是“无证据不得标记 [CONFIRMED]”，即发现必须基于已演示的真实影响。\n\n主要能力：将发现分为三级——[CONFIRMED]（影响已演示且有磁盘证据文件）、[POSSIBLE]（可达但未达该类证据门槛）、[INFO]（真实但无对应严重性的安全影响）。按漏洞类别设定证据门槛：SSRF 需内部响应，IDOR 需他人数据，RCE 需命令输出，XSS 需脚本执行，开放重定向需外部目标。提出“引用驱动的置信度分级”：高（直接引用工件原文）、中（明示假设桥接未观测缺口）、低（未验证推断，可记录不可当事实报告）。\n\n使用方式：设置结构化证据信号后运行 python skills/vulnerability-analysis/scripts/validate_findings.py --findings f.json --evidence ./evidence，再经必需的 finding-validator 代理判定（PASS / KILL / DOWNGRADE），仅存活的 [CONFIRMED] 可入报告，严重性须与演示影响一致。要求先读源码再看名称，禁止凭函数名（如 sanitize、is_safe）推断安全性。\n\n限制与警示：无磁盘证据、盲 RCE 无输出、自 IDOR、仅有 DNS 回调等情况一律降级为 [POSSIBLE]；模式匹配不等于利用；CVSS 须反映实际影响而非最坏情况。具体分类细则与七问门槛参见 skills/references/finding-evidence-standards.md 与 finding-validation-runtime.md。其他平台支持情况暂未提供。