报告

技术做到位，报告写砸了，这个项目在客户那里的评价就是「一般」。

反过来，技术只做到七成，报告写清楚了「修哪三个地方能挡住八成攻击」，客户会觉得值。这不是话术问题，是交付物本来就该这么设计——渗透测试的产出不是漏洞列表，是修复优先级。

这一章两件事：证据怎么留，报告怎么写。