首页/安全/渗透测试与安全评估速查/同类问题合并与去重

同类问题合并与去重

同一根因在多处出现时合并为一条,附受影响位置清单;不同根因即使现象相似也分开记录,避免整改遗漏或数量虚高。

合并与拆分的边界

同一根因在多个位置出现时,合并成一条并附受影响位置清单,报告才不会被同质条目撑爆;根因不同即使现象相似,也必须分开记录,否则整改方按一条处理会漏掉另一处。合并与拆分的判断依据是根因和修复动作,而不是现象是否相似。统计时注明是去重后的条数。

基本信息

合并原则同一根因的多个现象合并为一条并附位置清单
拆分原则不同根因分别建条目,避免修复遗漏
数量口径统计注明为去重后条数
清单要求受影响位置逐条列全,整改按清单回归
交叉检查与修复建议保持一致,避免一条建议覆盖不到清单里的位置

典型使用场景

  • 批量接口的同源问题:同一校验层缺失导致的多个接口越权合并为一条
  • 跨系统同类配置:多台主机相同的配置问题合并并列出主机清单
  • 报告瘦身:同质条目过多时先做根因归并,再看数量分布
  • 整改分工:按根因合并后的条目更容易指派到具体责任团队
  • 复测计划:位置清单就是回归测试的输入

合并示例

合并示例
合并条目:订单类接口缺失归属校验,可越权读取他人数据
受影响位置清单:
- 订单详情接口
- 订单明细接口
- 退款详情接口
修复建议:在服务层统一补齐归属校验,避免逐接口修补
复测方式:按清单逐项验证并补充变体检查

合并与拆分对照

情形处理方式理由
同根因多处现象合并并附位置清单一处修复即可覆盖
现象相似根因不同分别建条目修复方式不同,合并会漏改
同根因跨系统合并并区分系统列表便于统一排期
修复建议冲突先拆分再统一口径避免建议自相矛盾
合并条目的位置清单要完整:整改方按清单逐项回归,清单缺项会在复测时重新暴露同一类问题。
为了减少条数而强行合并不同根因的问题,会让整改方只修其中一处,风险仍然存在。

易错点

  • 把不同根因强行合并,导致修复不彻底
  • 位置清单遗漏,复测时又发现同类问题
  • 统计未注明去重口径,数量与条目对不上
  • 合并后未更新风险的受影响范围描述

数据来源与参考

  • OWASP WSTG(结果整理)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌