P07
事件抽取
- 事件卡 ≥ 5（或裁剪声明）
- 级别 / 组件 / reqId / 锚点
- 禁止糊成契约字段表
会翻日志 ≠ 能交差。多源对齐成时间线，根因要证伪，复现要写清。
Harness 货架 × IronHive 门禁密度 × 日志领域专属规则。install → doctor → 12 阶段 → verify；Exit Criteria L1–L8。买断秒下载，不绑企业运行时。
痛点
单文件当全貌、把 ERROR 当根因、和运维包换皮四标题——本包用时间线 + 证伪 + 未覆盖把门禁焊死。
流水线
工法同构 Harness；肉是日志。P06 四铁律标题逐字；D 组专项不可删；收口必须过 Exit L1–L8。
样本来源、时间窗、禁止项；声明本 case 覆盖哪些日志源。
时区/编码记下即可；指纹≥3；跨源如何对齐可陈述。
设计门禁 → 事件卡 → 根因卡（证伪）→ 复现条件表。
证据≥4 行；缺口清单禁装有；单一 REPORT + Exit Declaration。
领域专项 · 本包特色
这是相对 /ops、/api 的不可合并差异——删掉变成「四个标题交差」即换皮失败。
evidence 表头（日志六要素）
| 锚点 | 类型 | 摘要 | 置信度 |
|---|---|---|---|
| 文件 + 行 / 时间戳 | event / support / falsify / env | 一句话可复查 | 高 / 中 / 低 |
| 禁止：契约方法路径表头 · 运维配置键表头 · 整段粘贴含密钥日志 | |||
P06 四铁律 · 逐字
design 阶段标题必须逐字出现在 REPORT；与 /ops（拓扑/配置/密钥/探活）、/api（流量/会话/契约/鉴权）标题集合零交集。
主链按时间排序；跨源用 reqId / traceId / 近似窗对齐。时区、乱序、clock skew 知多少写多少；禁止无关联 ERROR 硬串因果。
显式假设 + 支持/证伪锚点。禁止「感觉是…」「肯定是网关」无锚点；ERROR 只是原料。
复现表写清条件是否在样本中体现。健康检查正常不能否定业务超时；缺对侧日志写未覆盖。
声明已覆盖源与未覆盖源。禁止装有「已完整定位根因」「日志已穷尽」；缺口进终局清单仍可诚实 PASS。
Exit Criteria L1–L8
厚资产 · 金样 + 坏例子
v1.1：乱序迟到行、半截堆栈、无 reqId、重复投递、clock skew、worker 侧源残缺——必须标脏点才能交差。
订单创建间歇 502。必须同时演示支持与证伪，并处理脏点，而不是只堆 ERROR。
操作手册 OPERATOR-PLAYBOOK · 事件/证伪/复现卡片模板 · 坏例子库 BAD-01～05（ERROR=根因、运维换皮、单文件穷尽、乱序因果、无证伪）。
交付物
买断制；完整 Skill、金样、脚本与跟做清单在支付后下载。
/loginstall.ps1 落 Skilldoctor.ps1 → READYverify-gold.ps1 → PASStemplates/case 复制开案上手
Cursor / Claude Code / Codex 三选一；先双绿再开案，避免空转。
支付后下载 log-triage-v1.zip，解压到工作区，执行安装脚本。
D:\排障工作区\ ├── log-triage-v1\ ← 解压这一包 │ ├── skills\ │ ├── fixtures\log-lab\ │ ├── scripts\ │ └── cases\... └── 你的授权日志\
skills/log-triage 到 .cursor/skills/，或跑 install.ps1 后重载窗口。OVERVIEW.md 与 SKILL.md。先跑 scripts/doctor.ps1，看到 READY 再往下。
复制模板，对 AI 说：
按 log-triage Skill，对 fixtures/log-lab 从 /log authorize 开始，continue 到 P12。 最终一份 REPORT.md + Exit L1–L8。 先 doctor，再 verify-gold。
卡住用 /log status；买家案换你的授权多源日志即可。
受众
能 grep ERROR，但领导要的是时间线 + 证伪 + 复现，不是截图堆。
app / gateway / 下游日志要对齐，需要写未覆盖而不是装有「已穷尽」。
Cursor / Claude / Codex 都能装同一套阶段门禁，明天还能 continue。
探活 / 回滚 / 配置覆盖走 /ops，别买错。
不卖「粘贴日志自动出根因」幻想；本包卖的是可复查工单。
不做未授权取证教程、代排查人工、IronHive 企业运行时。
FAQ
邻包边界
同店货架各答一个问题；需要哪类交付就点哪一类。
HAR/pcap 多协议契约表，不替你做日志根因证伪。
/ops · 运维分析拓扑 / 探活 / 回滚，不做时间线排障四铁律。
/sec · 安全分析信任边界与危险 sink，不写利用，也不做日志换皮。