用途：把单次封存扫描（sealed scan）中已验证的发现项，登记到指定的一个服务商与目标位置，如 Linear、Jira、GitHub issues 或 GitHub 安全公告（draft advisory）。
主要能力：写入前校验来源、解析目标与访问权限、检查约定与重复项、预览确切负载并等待批准，然后逐条应用并核对结果。支持批量创建、重复项检查（create/reuse/update/blocked 四种结论）；GitHub 安全公告仅支持单个 finding id，不支持批量。
使用方式：线性/Atlassian/GitHub 使用官方原生应用；Jira 前先读 references/jira.md，公告前先读 references/github-security-advisories.md。支持 GitHub CLI（gh）：在插件根目录运行校验脚本，如 <python_command> <plugin-root>/scripts/validate_tracking_source.py <scan-dir> [--finding-id <id> | --fingerprint <fingerprint>]，非零退出即停止跟踪。CLI 需检查 gh --version、gh auth status --hostname <host>、GH_HOST=<host> gh repo view <host>/<owner>/<repo>；API 调用需带 --hostname。写入前必须显示 id、指纹、目标、受众、传输方式与账号、来源状态、重复结论及完整标题正文，获得批准后才执行；来源、身份、传输、目标、受众或负载变更需重新预览。
适用场景：需要把安全发现纳入 Linear/Jira 工单、GitHub issue 或安全公告的跟踪流程，并要求可审计、可核对。
限制：不改动扫描包；不得使用浏览器自动化、复制搜索结果或直接 HTTP 调用来替代；不得静默切换传输或账号；不得创建仓库、改设置、推送源码或绕过策略；公告需要已验证来源和公开规范的非 fork 仓库；敏感发现默认私有；公开 issue 需完整标题正文审批并排除内部证据与利用细节；不在记忆中存储发现内容或披露批准。缺失信息暂未提供。