Web 安全測(cè)試交付前核對(duì)范圍、證據(jù)和修復(fù)建議“從原型到生產(chǎn)的驗(yàn)收清單”常被寫(xiě)成一串術(shù)語(yǔ)真正落地時(shí)卻要回答幾個(gè)樸素問(wèn)題誰(shuí)負(fù)責(zé)、何時(shí)停止、怎樣證明結(jié)果。以Web 安全與滲透測(cè)試從信息收集到 RCE 的完整攻擊鏈復(fù)盤(pán)為背景本文給出一套可討論的工作方法。先確定最低目標(biāo)先確定這次只解決什么、不解決什么并列出測(cè)試授權(quán)、入口參數(shù)、會(huì)話(huà)狀態(tài)和服務(wù)端校驗(yàn)。范圍太大時(shí)優(yōu)先保住高風(fēng)險(xiǎn)路徑其余問(wèn)題明確排入后續(xù)計(jì)劃。實(shí)施中保持可回退原型驗(yàn)證的是可行性生產(chǎn)驗(yàn)收驗(yàn)證的是邊界。兩者之間至少要補(bǔ)齊身份認(rèn)證、權(quán)限控制、失敗處理、日志脫敏和依賴(lài)治理。驗(yàn)收清單按用戶(hù)旅程編寫(xiě)正常請(qǐng)求、越權(quán)請(qǐng)求、異常輸入、依賴(lài)失敗和回滾。每項(xiàng)寫(xiě)清責(zé)任人、證據(jù)和通過(guò)標(biāo)準(zhǔn)。沒(méi)有通過(guò)的項(xiàng)目不要用口頭承諾替代。記錄風(fēng)險(xiǎn)接受范圍和修復(fù)計(jì)劃確保上線(xiàn)決策可追溯。交付檢查先驗(yàn)授權(quán)范圍交付前除驗(yàn)證功能外還應(yīng)確認(rèn)掃描目標(biāo)、憑證權(quán)限和報(bào)告接收方符合約定。報(bào)告中的請(qǐng)求樣本、路徑和標(biāo)識(shí)要按需要脫敏復(fù)現(xiàn)所需的最小信息與不該外發(fā)的數(shù)據(jù)應(yīng)分開(kāi)保存。完成后核對(duì)測(cè)試范圍、請(qǐng)求標(biāo)識(shí)、修復(fù)記錄和回歸結(jié)果并注明尚未覆蓋的條件。承認(rèn)限制比給出寬泛承諾更有用。