授权与范围

这一篇放在最前面，因为它决定后面所有内容成不成立。

授权书要有的六项

一份能用的授权，至少写清楚六件事。缺任何一项，执行时都会卡住：

1. 授权主体。谁签的字，这个人在组织里有没有权限授这个权。IT 主管签不了生产系统的测试授权，得业务方也点头。
2. 测试对象。域名、IP 段、系统名称，逐条列出。写「贵公司相关系统」这种表述等于没写。
3. 时间窗。起止日期，最好精确到小时。多数事故是「以为还在测试期内」造成的。
4. 允许的手法。是否允许社工、是否允许拒绝服务类测试、是否允许上传文件、是否允许横向移动。默认全部不允许，要一项一项放开。
5. 数据处理。测出来的数据怎么存、存多久、什么时候销毁。截图里的个人信息要不要打码。
6. 联系人。测试期间出问题找谁，几点能找到人。半夜把生产库打挂了，得有人接电话。

范围的三种写法

按资产写最清楚：a.example.com、10.1.2.0/24、订单系统（含 Web 与 App 接口）。缺点是容易漏，得靠资产测绘补。

按排除写风险大：只写「除生产环境外全部」。生产和非生产的边界，往往连客户自己都说不清。

按业务写最常见也最模糊：「电商平台」。这时候要把平台拆成子系统，逐个确认。拆的过程本身就是一次资产梳理，客户通常会有意外收获。

三个真实的越界点

子域。主站在范围内，test.example.com 在不在？如果它是同一套系统，通常算；如果是外包做的独立系统，得单独授权。这个必须问。

第三方托管。目标用了云数据库、CDN、SaaS 后台，这些基础设施的所有权不在客户。测试打到云厂商的接口上，是另一个法律问题。

同 IP 旁站。同一台服务器上还有别的公司的站。你扫的是 IP，影响的是别人。C 段扫描尤其容易踩这条。

没有授权会怎样

不是「被发现才违法」，是「做了就违法」。

《网络安全法》第二十七条禁止侵入他人网络、干扰正常功能、窃取数据。授权测试之所以合法，是因为权利人同意了——这个同意必须是事前、书面、可举证的。

事后补签的授权书，在法律上基本没用。它证明不了你当时在范围内。

一条实操建议

开工前把授权书、范围清单、时间窗打印一份放在手边，或者至少存在手机上能随时打开。不是为了给别人看，是为了自己在犹豫「这个能不能测」的时候，有个东西可以对照。

犹豫的时候，答案通常是「先问」。问一句的成本，比解释一次低得多。