# 偏好询问：分级问题集与默认值

入口在执行任务编排前，按**分级**处理偏好，结果存入会话状态，贯穿本次分析全程。

## 分级规则

- **Level 0 快速入口（默认）**：目标明确为「初步分析/这个文件干什么的」或目标未明确时——**不逐项询问**，直接采用默认值开始：
  | 项 | 默认值 |
  |---|---|
  | 目标 | 初步分析（判定类型/恶意性/入口/关键行为） |
  | 反编译器 | Ghidra |
  | 深度 | standard |
  | 报告 | 要 |
  | 平台 | auto |
- **Level 1 深度任务**：用户目标明确属于深度任务（脱壳、漏洞挖掘、协议逆向、恶意样本深度分析、破解、取证等）或用户主动要求配置时——完整询问以下 5 项。

## 必答问题（Level 1 第一项）

### 1. 分析目标（自然语言，必答）
想达成什么？示例：
- 判定这个样本是否为恶意、会不会回连
- 脱壳后提取干净样本
- 找到密钥/注册码/算法
- 还原某函数逻辑
- 确认是否存在漏洞

目标不明确时追问，直到可执行。目标决定 triage.md 的选择路径。

## 选择问题

### 2. 反编译器选择
| 选项 | 依据 |
|---|---|
| Ghidra（默认推荐） | 免费开源、跨平台、Linux 最顺 |
| IDA | 商业付费（有免费版 IDA Free：x86/x86-64 限定、无 SDK/IDAPython、非商用）、Windows 生态最强、插件丰富；用户明确选或目标为 Windows 闭源软件时推荐。**版本代际不在此写死**（避免漂移），需要时以官方发布为准 |
| radare2/rizin | 命令行轻量、终端友好、脚本化强；内存紧张或 CLI 工作流 |

内存 <4GB → 提示 Ghidra 可能吃力，建议 radare2 或先加内存。
**推荐依据与已装工具无关**（通用场景默认未装任何工具）。

### 3. 分析深度
- 快速结论 / 标准分析 / 深度报告

### 4. 输出报告
- 要（走报告流程：IOC/YARA 等）/ 不要

### 5. 平台确认
- 自动识别（有文件时按文件格式）/ 手动指定

## 状态传递

探测结果（probe.sh）与上述答案存入会话变量：`RE_OS`、`RE_ARCH`、`RE_MEM_GB`、`RE_TOOLS`（HAVE/MISS 列表）、`RE_GOAL`、`RE_DECOMPILER`、`RE_DEPTH`、`RE_REPORT`、`RE_TARGET_PLATFORM`。被调用技能读取这些变量（如 `RE_DECOMPILER=ghidra` → 反编译步骤直接走 re-ghidra；某工具 `MISS` → 先执行其「工具准备」安装步骤）。