连接阶段树
最后成功阶段怎样缩小排查范围
只排查该节点之后的层级，避免无目的重置。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
按DNS、连接、TLS和页面响应顺序记录后，可以用最后成功节点缩小检查范围。它只说明某轮测试有证据走到哪里，不是根因标签，也不证明前面所有组件长期正常。若解析有结果而连接在统一阈值内未完成，可把后续观察聚焦在连接路径；若握手完成而响应异常，则保留握手证据并转向响应层；若证书名称出现不匹配，安全停止优先，页面层保持未测。每个结论都绑定observed_at、environment_id、browser_version和evidence_ref，缺证据的层级写UNKNOWN。
使用这一节点时最常见的错误是把“最后成功”写成“已经排除”。一次解析成功不能排除缓存解析、多个地址或稍后变化，一次握手完成也不能认证页面业务身份。节点之后仍可能有多个原因，节点之前也只是当时通过观察。新测试若条件不同，应新建stage_record并比较差异，不覆盖旧值。交接摘要可以写“已确认到连接，TLS未知，响应未测”，不能写“服务器故障”。为防止摘要过度归因，可把每张卡拆成confirmed_until、first_unresolved、not_executed和limitations四栏。自动建议只能读取first_unresolved之后的安全动作，绝不能重跑已经触发停止的层。复核时选择一条当前记录从节点向前反查证据，再从证据向后确认没有越层推断；另一项测试则故意删除中间证据，系统应把链条降为不完整而不是维持旧结论。时间线若出现节点回退，统计显示分布和环境差异，不用单一最高值代表稳定能力。
以严格顺序建立阶段状态表
状态表从解析开始，每层只有成功、失败、UNKNOWN和未测。成功需要该层对应证据，失败需要明确错误或达到既定阈值，工具不可用或输出矛盾则为UNKNOWN。某层未执行时必须写未测，不能为了表格完整填失败或继承上一层结果。
同一轮只选择最靠后的已证成功层，并记录紧接着的首次失败或未知层。若解析未知却浏览器显示内容，说明证据链不完整，不能倒推解析成功；可以记录页面观察，同时把中间层标为未独立核对。模型允许不完整，而不允许用推断伪造完整路径。
- 四种状态在界面和导出中保持区别
- 成功和失败均需要对应层证据
- 观察到后层不倒推所有前层
把节点结论绑定测试快照
stage_record至少保存host_label、path_shape、network_category、device_class、browser_major、wait_threshold、start_time和end_time。敏感查询、账号、Cookie与完整设备名一律删除。浏览器从后台恢复、系统时间异常或网络正在切换等情况写入限制字段。
环境指纹只由非敏感类别组成，目的是比较而非追踪个人。两轮主机、浏览器或网络不同，就不能直接说节点前进或后退；先列差异，再决定是否可比。未知代理、受管策略或自定义DNS状态保持UNKNOWN，不探测内部配置或尝试解除。
- 快照字段足以重演但不识别个人
- 环境改变必须新建记录版本
- 受管状态不通过解除策略来验证
根据节点选择最小下一步
最后只确认到DNS时，下一步应围绕连接证据和低影响网络观察，清理Cookie没有针对性。确认到连接但TLS未知时，只检查证书告警和握手信息，不进入页面交互。确认到TLS而响应异常时，再记录状态码、正文到达和渲染线索。
最小下一步不是自动脚本，而是带停止条件的候选。执行前说明作用范围、预期证据、可撤回方式及会不会影响登录或未提交内容。任何安全告警、未知文件、要求关闭保护或权限升级都会终止普通路线，不能因“差一步”而继续。
- 下一步只针对节点之后的未决层
- 动作前写清影响范围与回退方法
- 安全触发器高于可达性目标
用实例区分缩小范围和确定原因
合成案例甲中，解析与连接成功，证书资料无法读取，TLS为UNKNOWN，响应未测。正确结论是检查范围停在握手证据，不是证书坏了。案例乙中，握手成功且响应有状态，但内容区域空白，范围进入渲染观察，仍不能断言脚本、扩展或页面代码责任。
案例丙更换网络后从连接超时变为握手告警。两条记录分别成立，但网络变化与告警出现并不能证明因果；新记录因安全提示立即停止。训练样例应包含这种看似前进却触发更高风险的情况，防止人员把靠近页面误认为更安全。
- 实例使用虚构环境并隔离业务索引
- 范围结论不升级为唯一原因
- 阶段推进不等于风险降低
识别节点回退与观察漂移
后续复测可能比之前更早失败，例如原先到响应层，后来连接超时。这叫观察漂移，不应删除先前成功记录或简单写成恶化。先比较时间、网络、浏览器、系统睡眠状态和等待阈值，条件不可比时只保留两条事实。
同环境下反复在不同层停止，也可能来自间歇状态、缓存、多个解析结果或计时差异，但没有证据时原因仍为UNKNOWN。日志用timeline连接事件，显示每次节点、首次失败和动作；禁止通过取最好一次或最坏一次来代表当前长期状态。每次汇总都注明样本数量和不可比轮次。
- 节点回退不覆盖历史成功观察
- 时间线保留每次条件和动作
- 不以单次极值代表长期状态
把无效与高影响动作纳入边界
如果某动作后节点完全不变，应记录no_change并阻止同环境立即重复。若动作同时改变多个变量，结果写invalid_test。删除站点数据、重置权限或更改网络策略属于高影响步骤，必须有明确证据、备份边界和用户确认；证书异常下这些步骤全部排除。
回退记录说明如何恢复设置、哪些状态无法恢复以及何时验证。Cookie、令牌和密码不能作为备份导出。若站点设置界面无法单独选择目标范围，应停止而不是扩大清理。节点模型的目的正是减少这种无目标操作，而非给更多重置找理由。动作结束后还需核对原环境确实恢复，缓存、权限和网络状态不得遗留临时变化。接手者从当前快照反查动作链，若前态缺失或范围不明，应重新建立只读基线，不沿用旧建议。
- 无变化步骤写入阻止重复列表
- 多变量动作标为不可归因测试
- 高影响操作需要证据与回退边界
输出一行摘要并保留证据链
一行摘要包含测试时间、匿名环境、最后明确成功层、首次失败或未知层、其后未测项和安全状态。例如“某时在电脑甲与网络乙，确认到连接，TLS证据不足，响应未测，无继续动作”。这种写法让接手者知道从哪里开始，也不会制造责任判断。
质量检查从摘要反查每层证据，再从证据正查其支持字段，确认链条无跳跃。脱敏扫描删除会话、完整IP和个人标识，证书分支必须存在停止事件。最后运行合成回归覆盖节点前进、回退、UNKNOWN与未测。通过不代表现实系统长期可用。验收人员还要故意提供缺失中间层的记录，确认系统不会倒推成功；再模拟浏览器升级使旧节点过期，页面应保留历史但停止给出基于旧环境的下一步。交接导出需列定义版本，让接收者正确区分未测和未知。
- 摘要明确成功层与未测范围
- 正向反向均可追到证据
- 结论严格绑定当次时间和环境并列出未测层
