Web 安全巡检：暴露面、会话和服务端校验分开查

Web 安全巡检：暴露面、会话和服务端校验分开查

安全巡检不是对站点跑一遍扫描器就结束。自动工具能发现候选问题，权限边界和业务影响仍需人工确认。

先确认授权和范围

列出域名、API、测试账号、允许时间和禁止动作。外部暴露面核对 DNS、证书与废弃入口；会话检查 Cookie 属性、退出和失效；输入处理检查服务端授权、参数绑定与输出编码。不要用前端隐藏按钮代替权限控制。

结果必须可复现

每项发现保存脱敏请求、响应状态、版本和最小步骤。证书到期、依赖风险与配置偏差有不同负责人和修复方式，不能塞进一个“高危”桶。

复测使用同一条件，确认攻击样本被拒绝、正常请求仍可用。巡检日志不保存凭据，发现敏感数据后按既有响应流程处理。