授权证据输入
HAR、PCAP、Zeek、Suricata、NDR 和天眼 Skill 等证据归一化为请求、响应、身份、参数和状态记录。
Evidence before conclusion
从授权流量到客户报告，中间必须经过报告准入规则
Spooner 从请求、响应、身份、参数、前端加密字段和状态差异中整理验证对象，再把补证缺口、断言和边界写入验证计划。补证缺口用于标记验证中缺失的信息。
补证缺口
测试账号、OOB observer、业务流程、decoder、授权 scope 和回滚说明形成补证卡。
验证计划
每个验证计划绑定证据来源、验证目标、请求样本、断言和安全边界。
验证运行
verification run 记录真实执行、请求摘要、响应摘要、断言结果和失败原因。
报告准入规则
验证运行通过后，结果进入 confirmed finding；失败项保留断言和限制说明。
客户报告
客户报告只放真实验证通过的结论；内部 trace chain 留在内部留档里。
Spooner screens
授权流量、验证运行和客户报告在同一条链路里
流量接入支持 HAR、PCAP、Zeek、Suricata、通用 NDR 和天眼 Skill；报告页只呈现验证链路可以支撑的结论，并保留内部 Markdown / JSON 供复核。
多来源流量进入同一套证据工作台
HAR、PCAP、Zeek、Suricata、NDR 和天眼 Skill 数据先归一化，再进入资产、补证和验证流程。
验证通过后再进入客户报告
报告页区分验证通过、低风险证据、待验证线索和不成立项，客户交付版只展示可复核结论。
Input / Plan / Run / Evidence / Finding
Spooner 的交付物是可复核的验证链路
输入记录来源，上下文标记缺口，验证计划定义断言，验证运行记录结果，证据支撑 finding，客户报告呈现通过门禁的结论。