从归属关系开始
已验证组织、数字标识和资产声明决定 VUFAY 可以监测什么，以及验证可以推进到什么程度。
数据暴露验证
把暴露线索变成可以行动的验证结论。
VUFAY 将外部线索关联到受保护组织，在授权范围内确认真正可达的内容，并向责任人提供整改和复测所需的证据。
把线索和事实分开
可信度与验证等级区分已观察线索、服务可达、确认暴露、数据可访问和凭证有效。
最小化敏感证据
发现只保留有界脱敏摘要和完整性哈希，不复制无必要的暴露内容。
验证风险关闭
处置单把责任人、期限、动作、复测和关闭原因放进同一条可审计时间线。