用途：把一次渗透测试产生的各类工件（多格式扫描输出、漏洞页面截图、nmap/Burp/自定义脚本原始日志、ROE及修订、执行摘要、发现记录）打包为单一带时间戳归档，并生成覆盖每个文件的SHA-256清单，可选GPG签名，形成可移植、可自验证的证据记录，用于事后回答“当时发现了什么”或应对范围争议。
主要能力：递归遍历项目目录生成标准sha256sum格式清单；输出JSON/JSONL/Markdown报告；可创建.tar.gz归档；可用GPG对清单做分离签名（manifest.sha256.asc）。同时检查削弱证据链的问题：发现引用归档外路径（MEDIUM）、目录中文件未列入清单（HIGH）、清单哈希不匹配（CRITICAL）、清单条目无对应文件（HIGH）、符号链接（MEDIUM）、空文件（INFO），全部通过则输出INFO确认。
使用方式：需Python 3.9+，可选GPG。基本命令：python3 ./scripts/record_engagement.py engagements/acme-2026-q2/。选项含--output、--format、--min-severity、--manifest、--tar、--sign、--signer、--exclude。验证：sha256sum -c engagements/acme-2026-q2/manifest.sha256；签名验证：gpg --verify manifest.sha256.asc manifest.sha256。退出码0干净、1高/严重、2错误。
适用场景：项目收尾归档、长周期项目每日快照、交付前完整性检查、争议时核验归档。
限制：需按推荐目录结构组织；GPG未安装或签名失败会输出HIGH并以1退出，清单仍以未签名形式写入；tar失败时清单仍写入，归档失败记为HIGH。具体收费、平台支持等资料暂未提供。