本文讨论授权的安全响应中心（SRC）或漏洞披露渠道。没有项目明确授权时，不要探测资产、读取他人数据或把公开页面当作测试范围；遇到敏感数据应立即停止并按政策报告。本文没有真实漏洞、CVE、奖励或个人成绩，所有示例均为合成演示。
先确认范围
打开项目规则和最新公告，逐项记录允许的域名、应用版本、账号角色、测试时间、速率上限、禁止行为和提交渠道。把“资产属于公司”与“资产在本项目范围”分开判断；第三方托管、移动端后端、供应商域名和登录后的功能经常有单独规则。若范围含糊，先询问项目方，保留询问和答复的时间。
- 建立授权记录：项目链接、规则版本、测试账号角色和停止条件。
- 选择最小测试面：一个端点、一个合成对象、一个低频请求。
- 先验证无害的预期行为，再逐步验证边界；一旦看到真实个人数据或令牌，立刻停止读取并脱敏。
用最小复现证明事实
复现步骤要让不了解你的环境的工程师也能重做。标题包含位置、缺陷类型和影响；正文按“前置条件—请求—观察—预期/实际结果”编号。不要用全量扫描、爆破、持久化或扩大读取量来“增强证明”。能用一个合成记录说明越权，就不要下载一张真实表。
# 合成示例，仅展示报告写法，不对应真实站点
GET https://sample.invalid/api/v1/example?id=synthetic-42
预期：返回 synthetic-reader 所属租户的合成记录
实际：返回 tenant=synthetic-other 的一条合成记录
停止：不再翻页、不读取其他 ID、不保存真实数据同时记录请求方法、必要参数、状态码、响应中能证明结论的最小字段、账号角色和测试时间。用脱敏后的原始请求/响应片段替代“如图所示”；附件应能独立说明复现条件。
证据脱敏与结构化
提交前逐字检查 Cookie、Authorization、邮箱、姓名、电话号码、内部主机名、云资源 ID 和可回放令牌。对 JSON 只保留必要键，对截图遮住个人数据和浏览器标签；不要把“脱敏后的值”写成看似真实的生产值。证据需要可验证，但不需要暴露超出证明范围的内容。
| 报告区块 | 保留 | 移除/替换 |
|---|---|---|
| 范围 | 规则链接、版本、角色、窗口 | 真实账号密码、私密邀请链接 |
| 复现 | 方法、路径、必要参数、状态码 | 多余对象 ID、批量响应、重放令牌 |
| 影响 | 受影响对象类型和权限边界 | 真实用户记录、支付/健康等敏感字段 |
| 附件 | 最小响应摘要、时间线、脱敏截图 | 原始 HAR、浏览器密码库、未加密日志 |
可直接复制 合成 SRC 报告模板，再把占位符换成授权项目允许公开的字段。模板刻意使用 sample.invalid 和合成租户，不应被误读为真实报告或真实资产。
风险叙述与 CVSS 辅助
先用普通语言说明“谁在什么前提下能做什么、影响什么、影响边界在哪里”，再考虑技术分类。CVSS v4.0 是描述漏洞技术特征的框架，基础、威胁、环境和补充指标各自回答不同问题；向量应来自已验证事实，不足的信息就标为未知。CVSS 分数是沟通辅助，不是项目奖励、修复顺序或法律结论，也不能替代项目方自己的资产关键性和现有控制。
例如合成的跨租户读取案例，可以说明需要登录、读取影响受限对象、没有写入或可用性影响；不要为了得到“高危”而虚构管理员权限、数据规模或远程利用条件。若项目使用自己的 VRT 或严重性规则，以项目规则为准，并把 CVSS 作为可选补充。
提交、修复与复测
- 提交。选择正确资产和分类，附上标题、影响、步骤、证据、修复建议和限制。提交前检查是否有重复报告，并保存提交编号。
- 沟通。回答复现问题时只补充必要信息；不要在评论里粘贴新的敏感数据。对时间线、严重性或范围有分歧时，用事实和可复验步骤沟通。
- 修复。项目方应说明修复版本或缓解措施。研究者可以请求安全的复测窗口；不要自行扩大测试来确认“彻底修好”。
- 复测。用同一最小步骤验证预期结果，记录版本、时间和状态码；若修复只覆盖一条路径，清楚标注未覆盖的边界。
- 披露。遵守平台和项目的披露政策。HackerOne 的披露流程要求报告进入可披露状态并按程序请求；Bugcrowd 对公开披露区分协调、定制和不披露政策。没有明确许可，不公开报告内容、截图或项目身份。
复测通过不等于“永远安全”：回归测试、监控和变更记录才是长期证据。若项目方判定重复、无效或不在范围内，也不要把结果改写成成功案例；把事实、政策依据和未决问题留存即可。
合成报告模板
一份可审查的最小结构是：标题（位置+缺陷+影响）、范围（规则和角色）、前置条件、编号步骤、预期/实际、影响边界、脱敏证据、修复建议、复测记录。样本文件中的“synthetic-other”只是说明越权边界的占位符，不是指控任何项目。
报告的价值在于让对方安全地复现和修复，而不是让读者猜测研究者看到了多少数据。
资料与来源
- FIRST：CVSS v4.0 Specification Document（指标组、向量与评分边界）。
- Bugcrowd 官方：Reporting a Bug（标题、目标、复现步骤、影响和证据要求）。
- HackerOne 官方：Post-Submission Guide（提交后的沟通、修复和披露请求流程）。
- Bugcrowd 官方：Public Disclosure Policy（协调披露、定制披露与不披露边界）。