## 严重程度校准 (Severity Calibration)

**目标**：基于报告文本内容，校准 detection 给出的严重程度是否合理。仅修改严重程度标签，不判断缺陷的 true/false。

**纯元数据操作**：仅分析报告文本，不调用代码工具。

### 校准模式

#### 严重程度与描述不匹配

报告标注的严重程度与描述的实际影响不一致：

| 报告标称严重程度 | 描述实际内容 | 校准 |
|----------------|-------------|------|
| 高 | 通用建议（"建议添加CSP头"/"建议启用HSTS"） | → 低 |
| 高 | 影响描述模糊（"可能导致问题"但未描述具体影响） | → 中 |
| 高 | 文件路径在 test/mock/example 目录下 | → 中 |
| 中 | 描述了具体的可利用漏洞（有攻击路径） | → 高 |
| 低 | 描述了注入类漏洞（SQL注入/命令注入/XSS） | → 中 |

#### 推测性高严重程度

报告标"高"但推理全是不确定性语言：

| 信号 | 判定 | 校准 |
|------|------|------|
| 推理中大量"可能/也许/理论上"且无具体触发路径 | 过度升级 | → 中 |
| 缺陷描述仅基于模式匹配，未做数据流分析 | 缺乏深度 | → 中 |
| 影响描述为"可能导致安全问题"但无具体场景 | 影响模糊 | → 中 |

#### 缺陷类型与严重程度不匹配

某些缺陷类型的严重程度有合理的默认范围：

| 缺陷类型 | 合理范围 | 校准信号 |
|---------|---------|---------|
| 静态缺陷（缩进/命名/格式） | 低 | 标"高"或"中" → 降级为"低" |
| 静态缺陷（未定义符号/类型错误） | 中-高 | 保持 |
| 安全漏洞（注入/XSS/路径穿越） | 高-严重 | 标"低" → 升级为"中" |
| 安全漏洞（通用建议无具体场景） | 低 | 标"高" → 降级为"低" |
| 逻辑缺陷（事务/并发/状态） | 中-高 | 保持 |
| 逻辑缺陷（非关键路径） | 低-中 | 标"高" → 降级为"中" |

#### 多重降级信号

当报告同时出现多个降级信号时，综合判断：

| 信号组合 | 校准 |
|---------|------|
| 推测性语言 + 影响描述模糊 + 非关键路径 | 严重降级（高 → 低） |
| 推测性语言 + 但缺陷类型为高危（注入类） | 不降级，保持原严重程度 |
| 文件在 test/ 目录 + 但描述了安全漏洞（硬编码密钥） | 不降级，保持原严重程度 |

### 校准规则

- **不与 validation 的 premise-challenge 重叠**：premise-challenge 用代码证据验证影响是否成立，这里仅基于报告文本做标签校准
- **校准仅修改严重程度标签**，不移除缺陷。降级后的缺陷仍进入 validation 阶段
- **升级需谨慎**：只有当报告描述了明确的可利用漏洞但严重程度明显低估时才升级
