01先看边缘，再看内容
裁切是最常见的加工方式。一张截图如果边缘被切掉，通常会同时失去状态栏、时间显示或完整的界面结构，这些恰恰是判断时间与真伪最关键的线索。
所以取证的第一步往往是看「少了什么」，而不是看「内容说了什么」。缺失的边缘本身就是一种信息。
02时间戳能证明什么，不能证明什么
时间戳只能说明「某个界面在某时刻显示了某个时间」，它不能直接证明截图里的内容发生在那时刻。界面时间可以被修改，也可以被伪造，尤其在经过二次拍照或转存之后。
只有当时间戳能与另一份独立材料的记录对得上时，它才具备较强的证明力。
03反向检索：找到更早的那一张
反向图搜是定位原始出处的常规手段。重点不在于「有没有相似图片」，而在于比较相似图片之间哪些细节变了：清晰度、裁切范围、光影方向、边缘噪点。
- 同源素材通常保留一致的光影与构图
- 清晰度更高的版本往往更接近原始
- 转存次数越多，压缩痕迹越明显
- 差异过于整齐的，反而要警惕合成
04查到哪一步就该停手
求证有边界。如果继续深挖需要接触当事人隐私、需要获取非公开数据，那就该停下，把当前结论如实标注为「待证实」，而不是用推测把链条补完。
写清楚「我们查到了哪里、为什么停下」，本身就是对读者负责的一部分。
#截图#取证#元数据