书面授权是什么
书面授权是委托方以正式文件形式，允许测试方在约定时间、对约定资产、执行约定动作的凭证，是渗透测试唯一的合法基础。授权从来不是一张纸，而是一组文件：授权委托书回答“谁授权、测什么、什么时候测、能做什么”，ROE 补充允许与禁止的技术细则，保密协议约定数据如何保管与销毁，资产清单则作为附件把范围固化下来。文件与实测目标必须逐项对应，出现差异一律按范围外处理，先停下确认。
授权文件构成
| 授权委托书 | 授权主体、目标清单、起止时间、允许动作、签字盖章 |
|---|---|
| 测试规则 ROE | 可做与不可做的技术动作、沟通与应急机制 |
| 保密协议 NDA | 保密义务、使用限制、数据销毁要求 |
| 资产清单附件 | 域名、IP 段、应用系统、测试账号与环境标注 |
| 有效期 | 精确到起止日期，必要时写明每日允许时段 |
| 签发要求 | 委托方有权签发人签字 + 单位公章，二者缺一不可 |
签署前的核对动作
- 目标清单逐项过目：确认每个域名或 IP 都与实际系统对应，排除笔误与遗漏
- 确认签发人权限：由有权代表单位签约的人签字，业务对接人的口头承诺不算授权
- 核对时间窗：写明起止日期，敏感动作还要写明每日允许执行的时段
- 明确禁止清单：DoS、破坏数据、社工、物理入侵默认不测，需要时单独出文件
- 约定数据处置：测试产生的数据、截图、日志如何保管、如何销毁
- 留存签字版：现场携带电子副本与纸质原件，便于质询时出示
授权书核对项
授权书核对项
□ 目标清单逐项列明且与实测资产一致 # 范围差异只记录上报，不自行纳入
□ 起止时间精确到日期与时段 # 时间之外不做任何主动动作
□ 危险操作禁止清单（DoS/破坏/社工） # 例外必须单独签发授权
□ 双方签字与盖章齐全 # 缺签章即视为无效授权
□ 附件的资产清单版本与合同一致 # 范围变更后重新签发
□ 联系人、数据处置与清理要求明确 # 与 ROE 一并确认口径常见授权瑕疵与后果
| 瑕疵 | 典型表现 | 后果 |
|---|---|---|
| 范围笼统 | 只写公司网站，未列具体域名 | 现场无法判断旁站、子域是否在范围内 |
| 时间模糊 | 只写 10 月测试，无具体起止 | 到期后继续即为未授权 |
| 口头授权 | 即时消息里说可以测了 | 出事后无法举证，责任落到测试方 |
| 签发人无权 | 由无授权权限的人员签字 | 文件效力存疑，争议时难以采信 |
| 范围外顺测 | 实测发现同网段其他资产顺手测试 | 构成越权行为，可能触发法律责任 |
授权文件是测试期间唯一有效的通行证。范围外的一切动作都必须停下确认；拿不准时的默认选项只有一个：停下来，问授权人。
授权到期即失效，延长与增补都要重新走书面流程，消息里一句“可以测”不能作为依据。签署原件与扫描件通常要按合同约定的保存期限归档，项目结束后不要立即丢弃。