案例
我们能公开的证据。
还没有客户品牌标识。能放在你面前的是：报告模板、一次脱敏评审里的六条发现、三个实验室项目，以及每个项目都会交付的文件清单。
交付物
样本本身就是产品。
每个项目都以这份文件收尾。下面六条发现来自一次脱敏评审；结构不随项目大小改变。
- 每条发现都附复现说明，你的开发可以照着复现出来
- 用你的业务语言写影响，CVSS 只是其中一列，不是结论
- 每个修复项都有具名负责人和工时估算
- 关闭之前，复测结果记在同一份文件里
脱敏的意思是里面没有客户名称、主机名或数据。这是一份你在付费之前就能读完的文件。
会话 Cookie 缺少
Secure 与 SameSite高危后台未启用 MFA 即可访问高危
密码重置令牌有效期 72 小时中危
SPF 允许未认证的发件人中危
每日备份没有还原测试记录中危
服务器 banner 过于详细，泄露版本号低危
6 条发现 · 一个模板 · 含复测
参考项目
三个网站项目，全程计时。
每一个都跑在我们自己的基础设施上，对着一个真实运行的网站，而不是一份幻灯片。请把它们当作方法上的证据，而不是客户项目。
参考项目
实验室环境
WooCommerce 商店，三个站点，14 个插件
问题。三个站点的插件版本已经各不相同，每日备份从来没有验证过能否恢复。一次失败的更新就可能让商店下线，而且没有经过验证的回退路径。
交付内容
- 三个站点整体做一轮加固
- 用生产备份做恢复测试
- 90 天补丁与更新计划
周期 · 9 天
参考项目
实验室环境
品牌站重建与主机迁移
问题。一个 12 页的网站建在已停维的页面构建器上，没有测试站，旧网址已经在搜索结果里排了三年。没有重定向映射就换主机，等于把流量清空。
交付内容
- 在 WordPress 上重建，带上旧网址映射
- 301 重定向与 DNS 切换，含回滚
- 上线前后各做一次抓取检查
周期 · 12 天
参考项目
实验室环境
被入侵的 WooCommerce 商店恢复
问题。结账页被塞了盗卡脚本，Google 安全浏览挂出警告，主机商已经把账户停掉。站长的备份还和网站在同一台服务器上。
交付内容
- 隔离站点、清除恶意代码、轮换凭据
- 定位入口并补上
- Search Console 恢复与 30 天观察
周期 · 4 天
周期按工作日计。5 天和 7 天对应两个固定范围的评估，9 天的 WooCommerce 范围属于定制项目。全程不涉及客户数据、生产环境访问或可识别的名称。
交付清单
交付什么，哪一天交。
每次评估都以同样的六个文件收尾。建站项目会把发现文件换成交接包，日期随范围调整。
| 文件 | 里面是什么 | 时间 |
|---|---|---|
| scope.md | 资产、时间窗口、排除项，以及签字确认的具名人员 | 开工前 |
| exposure-inventory.csv | 域名、子域名、暴露的服务和 TLS 状态 | 第 3 天 |
| findings.pdf | 复现、业务影响、修复方案、负责人、工时和严重程度 | 第 5 天 |
| 90-day-roadmap.md | 现在、下一步、之后，含工时估算和依赖关系 | 第 5 天 |
| retest.md | 关掉了什么、没关掉什么，以及两者的证据 | 30 天内 |
| close-out.pdf | 一页纸，写明测了什么、还有什么没关——可以直接转给客户 | 30 天内 |
长期维护会把最后两个文件换成月度报告和变更日志。我们不交付需要你自己去解读的仪表盘。
公开规则
这页上永远不会出现的东西。
三样东西，各有各的原因。
- 客户品牌标识。这里一个都没有。付过发票不等于给了授权。
- 客户评价。一句好话也需要书面许可，所以我们请你去读报告。
- 编造的指标。没有“已修复发现占比”这种百分比，也没有小样本撑起来的平均响应时间。
客户确实同意公开时，案例只会写明测试的资产、日期、已修复的发现和被接受的发现——不会多写。