> 阅读本文件后，根据缺陷报告的特征，按需加载对应策略文件执行。

## 核心理念

**management 处理缺陷报告的元数据，不碰代码。**

目标是进入报告生成前，最大化减少无效噪音并校准报告质量。所有策略仅操作报告文本和元数据，不调用 Grep/Read/find_definition 等代码工具。

## 策略加载指引

根据缺陷报告的**特征**，选择对应的策略文件加载执行。

| 策略 | 核心问题 | 加载信号 | 执行指引 |
|------|---------|---------|---------|
| [deduplication.md](deduplication.md)<br>缺陷去重 | 有没有重复报告？ | • 输入缺陷 > 1 个<br>• 多个缺陷涉及相同文件或相似描述<br>• 分支扫描模式下有历史记录可查 | 识别并合并根本原因相同的缺陷为一份报告；查询历史已报告缺陷去重。**必须第一个执行** |
| [scope-validation.md](scope-validation.md)<br>范围校验 | 缺陷在扫描范围内吗？ | • 缺陷报告了文件路径和行号<br>• 扫描模式限制了范围（分支/文件/目录）<br>• 行号可能不在 diff 变更范围内 | 校验缺陷的文件路径和行号是否在扫描范围内。不在范围内则过滤或纠正行号 |
| [noise-filter.md](noise-filter.md)<br>噪音过滤 | 报告是真正的缺陷吗？ | • 报告描述为代码风格/命名/缩进问题<br>• 缺陷在 test/mock/example 目录下<br>• 描述为通用建议或理论性推测<br>• 缺陷类型为通用扫描器式安全提示 | 基于报告文本快速剔除无效噪音：代码风格、非生产代码、通用建议、文档注释、推测性问题等 |
| [severity-calibration.md](severity-calibration.md)<br>严重程度校准 | 严重程度标对了吗？ | • 报告标"高"但描述只是通用建议<br>• 报告标"高"但推理含不确定性语言<br>• 静态缺陷（缩进/命名）标"高"<br>• 安全漏洞（注入/XSS）标"低" | 基于报告文本校准严重程度标签：过度升级的降级，低估的升级。仅修改标签，不判断 true/false |
| [defect-clustering.md](defect-clustering.md)<br>缺陷聚类 | 有没有系统性问题？ | • 同一文件/函数存在多个独立缺陷<br>• 同一 API 存在多个安全类型缺陷<br>• 多个缺陷涉及同一数据流路径 | 识别存活缺陷中的关联关系，将独立但相关的缺陷标记为聚类，提示系统性风险 |

## 执行依赖

```
deduplication（必须先执行）
     │
     ├─→ scope-validation ──────┐
     ├─→ noise-filter ──────────┤  并行执行（dedup 之后）
     └─→ severity-calibration ──┘
     │
     └─→ defect-clustering（最后执行，在存活缺陷上）
```

**加载规则**：
- deduplication 必须第一个执行，输出去重后的缺陷列表
- scope-validation、noise-filter、severity-calibration 相互独立，可并行执行
- 任一策略判定为"过滤"，该缺陷移除（severity-calibration 的降级不算过滤）
- defect-clustering 在所有过滤完成后执行，操作存活缺陷
