Web 安全测试交付前：核对范围、证据和修复建议
“从原型到生产的验收清单”常被写成一串术语，真正落地时却要回答几个朴素问题：谁负责、何时停止、怎样证明结果。以Web 安全与渗透测试：从信息收集到 RCE 的完整攻击链复盘为背景，本文给出一套可讨论的工作方法。
先确定最低目标
先确定这次只解决什么、不解决什么，并列出测试授权、入口参数、会话状态和服务端校验。范围太大时，优先保住高风险路径；其余问题明确排入后续计划。
实施中保持可回退
- 原型验证的是可行性，生产验收验证的是边界。两者之间至少要补齐身份认证、权限控制、失败处理、日志脱敏和依赖治理。
- 验收清单按用户旅程编写：正常请求、越权请求、异常输入、依赖失败和回滚。每项写清责任人、证据和通过标准。
- 没有通过的项目不要用口头承诺替代。记录风险接受范围和修复计划，确保上线决策可追溯。
交付检查先验授权范围
交付前除验证功能外，还应确认扫描目标、凭证权限和报告接收方符合约定。报告中的请求样本、路径和标识要按需要脱敏；复现所需的最小信息与不该外发的数据应分开保存。
完成后核对测试范围、请求标识、修复记录和回归结果，并注明尚未覆盖的条件。承认限制，比给出宽泛承诺更有用。
