用途：为持续数周、跨多个会话的安全测试或调查维护一份持久记录。核心前提是：未写入记录的即视为丢失，会被下一次会话重复或错误推翻。适用于任何跨单次会话的调查，或交接、接近上下文边界、向目标写入前，以及无法回答“这个凭据来自哪台主机”时。不适用于撰写客户交付物、判断发现真伪（仅记录结论）、需正式司法证据链的场景，以及单次可完成的独立任务。
六类记录（同一文件内随做随记，不事后重建）：一、范围与授权，含范围内目标、逐字抄录的排除项、测试窗口、联系人、授权书位置，以及出网模式（offline、lab_only、authorized_target_only、unrestricted_lab）；授权是闸门而非备注，未获授权时只能阅读文档与规划，不可扫描、挂钩或利用。二、凭据来源：每个凭据、哈希、令牌说明是什么、来自哪、如何获得、用于过什么，并标注 provenance（如 CONFIRMED 或 UNKNOWN）。三、访问清单：主机、账号、权限级别、方法及是否仍有效，因访问会衰减。四、产物登记表（清理清单）：每次写入目标即记录，如投放文件、创建的服务或任务、账号、注册表项、共享、防火墙规则、云资源、配置改动，并跟踪状态（如 PENDING、REMOVED）。五、带证据的发现：内容、位置、复现步骤、证据、影响，证据需当场捕获。六、死胡同：尝试了什么、针对什么、为何失败。
会话边界纪律：会话结束前记录须回答当前持有哪些访问及其是否仍有效、目标上还有何未清理、正在做什么、排除了什么。交接在记录外补当前位置、下一步动作与时间敏感事项。跨交战时六类记录重置，但应保留本机工具清单（工具、真实路径、版本、socket 服务是否已注册并响应；仅落盘不算能力，且应本地保存、gitignore）和去标识化的经验日志（按场景、技术、目标特征建索引，写时即去标识，默认本地保存）。
局限：不负责交付物撰写、发现真伪判断与司法证据链，这些需使用其他技能；资料未提供具体安装命令或代码。