证据编号规则与命名
统一编号让证据在报告、清单与介质之间可以互相引用。建议采用案件号加类型加序号的结构，例如 CASE01-DISK-003，并在命名中避免空格与特殊符号。编号里不要出现过早下结论的语义信息，否则结论调整后编号反而失去意义；同一证据的多个副本要带副本标识，避免分析时误用副本替代原始介质，也避免把副本之间的差异当成证据差异。
基本信息
| 结构示例 | CASE01-DISK-003、CASE01-LOG-012 |
|---|---|
| 一致性要求 | 编号与介质标签、目录名完全一致 |
| 命名约束 | 不使用空格与特殊符号，统一用连字符 |
| 副本标识 | 副本单独标注，不与原件混用 |
典型使用场景
- 建立案件目录时确定编号规则
- 把编号写入报告正文与附录，供读者核对
- 移交时按编号逐项点名清点
- 多人协作时用编号交流，避免文件名歧义
- 归档时按编号排序，便于长期检索
目录示例
目录示例
CASE01/
evidence/ CASE01-DISK-001.raw CASE01-DISK-001.sha256
logs/ CASE01-LOG-012.tar.gz
reports/ CASE01-report-v1.md
# 目录名与文件编号前缀保持一致，便于按前缀批量检索
find CASE01 -name 'CASE01-*' | head编号要素读法
| 段落 | 含义 | 设计要点 |
|---|---|---|
| 案件号 | 区分不同案件的命名空间 | 与工单系统编号保持一致 |
| 类型 | 磁盘、日志、内存、邮件等 | 用语固定，不随意缩写 |
| 序号 | 同类型内的顺序编号 | 定长补零，便于排序 |
| 副本标识 | 区分原件与副本 | 防止分析时误用副本 |
编号里避免出现日期之外的语义信息，例如把「未授权访问」写进编号，一旦结论调整或措辞变化，编号就与实际含义冲突。
序号采用定长补零（003 而非 3）可以让目录排序与编号顺序一致，避免出现 10 排在 2 前面的检索困扰。
文件名含空格在命令行处理时容易出错，批量脚本常用于文件时会把一个文件拆成两个参数，统一用连字符可避免这类问题。
跨设备或跨平台采集时，保持案件号前缀不变，只把类型段落换成本来源的代码，就能在不改变规则结构的前提下表达来源差异，避免每个来源各发明一套编号。