网页安全检测；3个指标比评分更准

评分这东西，看个大概就行。真正让人睡不着的，从来不是扫描器给出的那个总分，而是“我到底知不知道这个站现在长什么样”。做网页安全检测，如果只盯着分数条，很容易漏掉更该看的东西——比如多了个没人管的测试接口，比如某个上传点从来没人验过。下面这三个指标我用了好些年，比评分靠谱得多，而且都不需要什么高深工具。

网页安全检测第一个指标：外部可见面有没有变化

一个站的安全状态，第一步看它“露在外面”的东西变没变。域名下面多了几个子域、服务器上多开了端口、证书换了签发方、页面里多了个表单或者上传入口——这些单独看都不算漏洞，但没被记录下来的变化，基本就是盲区。我的习惯是每周存一次快照：解析记录、开放端口、主要页面的表单数量、外部引用的脚本域名。前后一对比，哪儿冒出了新东西一目了然。

这活儿枯燥，但它比任何一次扫描都更早发现问题。很多事故不是被人硬打穿的，是“什么时候多了个这玩意儿、谁开的”根本没人知道。特别是那种临时测试页、老项目下线后留下的目录，最容易长在没人管的地方。

第二个指标：报出来的风险能不能复现

扫描报告动辄几十条“疑似”，全修不现实，全忽略更不行。我的判断标准就一条：能不能自己走一遍、把它复现出来。参数里塞个单引号看有没有报错回显，上传点试着传一个不在白名单的后缀，登录接口连着试错几次看有没有锁定。能复现的，是欠着的债；复现不了的，先记下来排期再看。很多工具喜欢写“可能存在”，这四个字背后往往是它自己也不确定。

复现有个前提——别在线上乱来。带破坏性的测试、开着高并发跑注入，一不小心就把业务打挂、把数据写脏。稳妥做法是先在测试环境复刻一份，实在没条件，就只做只读的探测，别越线。这条线不少外包团队不当回事，最后收拾场子的还是站点主人。

第三个指标：修完之后有没有回头验

最怕看到的三个字是“已修复”，却没有任何证据。改完配置、打完补丁，得拿原来那条复现路径再走一遍，确认真的堵上了。有时候补丁只打了一半，旧版本还在跑；有时候规则加在另一台机器上，前面那层照样放行。修完不验，等于没修。这条执行起来不难，就是容易忘，所以最好写成流程里的固定动作：改完、复验、留记录，三步连着做。

评分为什么容易误导人

评分本质是加权算出来的，权重怎么定、口径怎么统一，各家工具各说各话。同一个站在不同工具里分数差出一大截，太正常了。更关键的是，评分覆盖的多是通用项：响应头、证书、常见公开漏洞。业务逻辑那一层它根本看不到——下单金额能被改成负数、别人的订单号能被顺着遍历出来，这类问题扫描器毫无兴趣，可恰恰是真出钱的地方。所以分数可以当门槛用（低到某个程度就去看一眼），不能当结论用。

虚拟主机这种环境，检测该怎么做

不少小站跑在虚拟主机上，共享环境，装不了 agent，也拿不到 root。这种条件下上面三个指标照样能做，只是手段换一下。外部可见面靠外部观察就够了；复现也只需要一个浏览器和一点耐心。手头能用的资源主要是面板和日志：访问日志里翻可疑的请求路径，错误日志里找反复出现的报错。有些面板带防护开关和目录权限设置，具体怎么配以服务商或官方页面说明为准，别照着网上几年前的旧教程瞎点。

虚拟主机还有个特点，权限边界不由你定。PHP 版本、上传限制、哪些目录可执行，都是服务商统一管的。所以检测出一堆问题之后，先分清哪些是你能改的、哪些得提工单。分不清就容易白忙活，或者把本来正常的限制当成漏洞去折腾。

几个实打实的坑

一是只扫首页。首页干净不代表没事，问题往往藏在参数多的内页、下过线的老目录里。二是扫得太猛。有的工具默认并发很高，扫一轮下来防护直接把你 IP 封了，第二天自己都登不进去。三是扫完不做记录，半年后想知道某个点到底修没修，翻不到任何东西。四是全信工具。工具是眼睛，判断还得自己来。

自己动手还是找人做

小站其实不用一上来就外包全套。把公开资产扫一遍、整理一份变更记录、修几条确定的问题，一个懂点技术的人花不了太多时间。外包的价值更多在“你没空盯”和“需要一份能给客户看的报告”这两种场景。找人做的时候，记得要复现步骤和修复建议，只要一张“高危若干条”的汇总表，意义不大。价格范围和交付内容以合同或对方的书面说明为准，口头承诺不算数。

顺手给个能落地的顺序：先把外部可见面做成每周快照，再挑三到五条能复现的风险排期修，每条修完复验一遍、留个记录。分数照看，但别让它替你做决定。真出事的时候能救你的，是“我知道这个站有哪些东西、它们什么时候变的、我改过什么”，而不是某张报告上的一个数字。