网站安全扫描如何制定阶段性交付物：第一次做就按这份清单拆
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /3e1cee1f7b71.html
📄
网站安全扫描如何制定阶段性交付物：第一次做就按这份清单拆
制定网站安全扫描的阶段性交付物，核心是把一次扫描拆成“范围确认、资产发现、漏洞验证、修复复测、交付归档”几个可验收的节点，每个节点都产出能被人检查的文档或数据，而不是只等最后一份报告。对第一次接触这件事的人来说，起点是先明确扫什么、扫到什么程度算完成，下一步才是选工具和执行。
先确定扫描范围与授权，这是第一份交付物
要查的是：本次扫描覆盖哪些域名、子域名、IP 段和端口，是否包含测试环境，扫描时间窗口是否避开业务高峰。怎么查：与站点负责人逐项确认，把结果写成一页《扫描范围与授权确认单》，列明目标清单、排除项、允许的扫描强度、紧急联系人。结果说明什么：如果范围含糊，后续所有漏洞数据都无法判断是否有效，复测也无从对比。这份确认单就是第一个可交付物，签字或邮件确认后再动手。
资产发现阶段要交付一份可核对的资产清单
要查的是：主域名之外还有哪些子域名、开放端口、在用服务版本、对外暴露的登录入口和上传入口。怎么查：用子域名枚举、端口探测和指纹识别交叉比对，把结果整理成表格，字段包括资产地址、类型、归属系统、是否在授权范围内。结果说明什么：清单里出现授权范围外的资产时，应暂停对其扫描，先补授权或直接剔除，避免越界。这一阶段的交付物是资产清单本身，以及一份“范围变更记录”，写明新增或移除的资产及原因。
漏洞验证阶段交付的是分级问题列表，不是原始扫描结果
要查的是：扫描器报出的每一项告警，是否能在目标上真实复现，影响路径是什么。怎么查：对高危项逐条手工验证，例如构造请求确认注入点是否可触发、检查返回内容是否泄露敏感信息；对无法复现的项标注“疑似误报”并记录验证过程。结果说明什么：把问题按“已确认可利用、已确认存在但利用条件受限、疑似误报、信息性提示”四类归档，并给出每项的证据（请求与响应片段、截图说明）。这份分级列表是修复排期的直接依据，比扫描器原始输出更有交付价值。
修复与复测阶段要交付闭环记录
要查的是：每个已确认问题由谁负责、计划何时修、修完用什么方法验证。怎么查：建立一张跟踪表，字段包含问题编号、严重级别、责任人、修复状态、复测结果、复测时间。复测时只针对原问题路径重新验证，确认不再复现后关闭；若修复引入新问题，另开编号。结果说明什么：跟踪表全部关闭或明确标注“接受风险”并说明理由时，这一阶段才算完成。适用条件是修复由开发或运维执行，扫描方只负责验证，不代替修复。
最终交付与归档：报告要能支撑下一次扫描
最终交付物通常包括：扫描范围与授权确认单、资产清单、分级问题列表、修复复测跟踪表、总结报告。总结报告写清本次覆盖范围、未覆盖部分及原因、问题分布、遗留风险。归档时保留原始扫描数据和验证证据，便于下次扫描做对比。判断交付是否合格的标准是：换一个人拿到这些文件，能独立复现关键问题、看懂修复状态、知道下次该从哪里开始。假设某次扫描发现 3 个高危问题，其中 2 个已复测关闭、1 个因业务依赖暂不修复，那么报告里必须写明这 1 项的风险和接受决策，而不是简单标成“已完成”。
下一步，先起草那份《扫描范围与授权确认单》，把域名、IP、时间窗口和排除项填进去，发给站点负责人确认；确认之前不要开始任何主动扫描。
