# SRC 报告模板（合成示例）

> 本文件只展示结构和占位符。`sample.invalid`、账号、令牌、时间戳均为合成值，不对应真实项目或漏洞。

## 标题

受影响功能 + 可观察影响 + 必要条件（例如：`sample.invalid` 的导出接口在只读角色下返回另一合成租户的记录）

## 范围与授权

- 项目/资产：`sample.invalid`（占位符）
- 依据：项目规则链接、版本/环境、测试窗口
- 使用的账号角色：`synthetic-reader`（无真实凭据）
- 已遵守：请求速率、禁止数据范围、停止条件

## 最小复现

1. 登录合成账户 `synthetic-reader`。
2. 发送 `GET https://sample.invalid/api/v1/example?id=synthetic-42`。
3. 观察响应中仅应出现当前租户的合成记录。
4. 实际结果：响应返回 `tenant=synthetic-other` 的一条合成记录。

请求、响应和截图都应在提交前删除 Cookie、Authorization、个人数据和内部域名；保留状态码、必要字段和时间窗口即可。

## 影响与修复建议

影响范围、可访问数据类型、前置条件和停止条件应分别陈述。建议在服务端按会话租户重新授权对象 ID，并加入跨租户回归测试；修复后提供同样步骤的预期结果。

## 复验记录

- 修复版本/时间：待项目方填写
- 原始步骤：同上
- 预期：返回 403 或当前租户记录，不能返回 `synthetic-other`
- 证据：脱敏后的响应摘要和测试日志