用途
case-review 用于在逆向工程、取证、CTF 或授权安全案例需要可辩护的交接（defensible handoff）时，对已有的 work/<case>/ 案例包进行审查。它只审计现有工作，不更改案例，也不接触目标。
主要能力
该技能覆盖以下审查内容：
- 范围元数据与目标活动就绪度
- 证据记录结构与可复现字段
- 工作项和时间线条目对 Evidence 的引用
- 报告 Markdown 中的结构化 Findings 与 Paths
- 对案例本地工件的可选 SHA-256 校验
- 输出 Markdown 或 JSON 审查结果，用于报告交接
它明确不得执行侦察、利用、动态插桩或目标更改；这些操作属于被路由的分析技能，并需要案例范围门（case scope gate）。
使用方式
工具依赖：Python 3.9+（必需，用于运行只读案例审查脚本，使用平台自带 Python 安装，不自动引导）。无需网络访问或第三方包。
工作流分为四个阶段：
阶段 1：接收（Intake）
对已有案例目录运行审查：
python3 skills/case-review/scripts/review_case.py work/<case> --format markdown
确认 scope.md、timeline.md、workitems.md 和 evidence/ 存在。非严格审查会报告范围警告，严格审查则将警告视为交接阻塞项。
阶段 2：可追溯性（Traceability）
审查以下检查项：
- 不存在的 Evidence ID
- 没有 evidence_ids 的 Findings
- 没有允许的 path_type 或 Evidence 引用的 Paths
- 指向未知 Evidence 的工作项和时间线条目
- 未链接的 Evidence 记录
- 低置信度的已验证 Findings
离线观察只有在 notes 字段明确记录离线限制时，才可使用 repro_command: n/a。
当其他工具需要稳定字段时使用 JSON：
python3 skills/case-review/scripts/review_case.py work/<case> --format json
阶段 3：固定性校验（Fixity verification）
当 Evidence 记录同时包含 content_hash 和 artifact_path 时，校验案例本地工件：
python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict
脚本接受 sha256:<64 位十六进制字符>，并检查工件仍位于案例根目录内。哈希不匹配为硬失败。
PowerShell Evidence 辅助脚本可在追加记录时记录哈希：
powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"
阶段 4：交接（Handoff）
在最终报告或专家交接前使用严格模式：
python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md
该命令对案例是只读的，除非显式使用 shell 重定向保存其输出。审查不构成法律建议，也不替代组织的证据处理程序。
适用场景
- 逆向工程、取证、CTF 或授权安全案例产生案例包后，需要可辩护的交接
- 需要检查证据、发现、路径之间的可追溯性
- 需要校验案例本地工件的 SHA-256 固定性
- 需要生成 Markdown 或 JSON 审查结果供报告或 CI 使用
限制
- 不执行侦察、利用、动态插桩或目标更改
- 仅使用 Python 3 标准库，无第三方依赖
- 若 Python 3 不可用，唯一允许的恢复动作是当前平台注册了 Python 能力时的仓库引导路径；若未注册，则停止并报告缺失运行时，不得猜测可执行路径、下载包或在技能内手动安装
- 审查不构成法律建议，也不替代组织证据处理程序
语言行为约定
内部推理、工具选择和阶段控制使用英文；用户可见消息、章节标签、报告和下一步菜单使用中文，除非用户要求其他语言。默认双语标签中文在前、英文在后，以 / 分隔。
路由上下文
上游入口：任何已产生案例包的逆向、取证、CTF 或授权安全技能。下游出口：docs-generator/ 用于正式报告，或当图不完整时返回原始 PRIMARY 技能。相关模块：ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/ 和 docs-generator/。
参考
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- SWGDE Best Practices for Computer Forensic Acquisitions
- SWGDE Best Practices for Archiving Digital and Multimedia Evidence
任务完成自检
- 是否审查了 scope.md、timeline.md、workitems.md 和 evidence/？
- 所有 Finding 是否引用了现存 Evidence？
- 所有 Path 是否包含合法 path_type 和 Evidence 引用？
- 是否执行了 hash verification，或记录了未执行原因？
- 是否以 strict 模式重新运行并保存了 review 结果？