用明确授权、最小必要证据与有记录的复测，把攻击路径验证转成可执行整改。
先写清测试授权
域名、IP、应用、接口和账号角色要逐项对应资产归属，说明允许的测试时段、来源与方法。第三方服务和其他客户环境不因技术上可达就自动包含在范围内。紧急联系人和停止条件必须可用，发现稳定性异常时有明确的通报与处置路径。
用有限影响证明实际风险
依据约定目标选择人工验证与工具辅助方法，重点检查身份、权限和业务规则。以专用账号和测试数据保存足够的复现证据，不为证明风险而读取更多真实数据或实施未授权破坏。报告区分已验证影响与推测后果，不能把潜在路径写成实际入侵事实。
让每个发现都有修复入口
记录受影响对象、前置条件、操作过程、结果与修复方向。说明示例：某角色访问不属于自己的测试记录，能够证明特定授权边界有问题；但不能据此宣称已读取全部客户数据。此例仅用于解释证据范围，不是客户案例。问题分级还应结合系统用途和既有控制解释。
复测关注规则是否真正修复
按原触发条件复测，并检查相关角色、接口和业务流程。修复后原路径被阻断，只是验证起点；错误变成超时也不能自动认定风险关闭。记录新版本和排除项，将剩余风险交给责任方决策。NIST SP 800-115 与 OWASP WSTG 提供方法参考，实际测试计划应按系统与授权选择适用项。
关键事实
前提：书面授权、范围与停测安排
交付：可复现证据、业务影响与复测记录
常见问题
扫描能替代渗透测试吗？
两者有交集但目标不同。扫描适合发现大量已知线索，渗透测试还需要结合业务验证可利用性和影响；应比较实际覆盖与方法，而不是只比较报告名称。
