| 前置 | 账号、环境、工具状态 |
|---|---|
| 步骤 | 编号、单步骤单动作 |
| 结果 | 预期与实测分列 |
| 边界 | 教学性结构，不放大破坏效果 |
写法示例
写法示例
前置：只读测试账号 audit、预发环境 URL
步骤：
1. 登录后打开订单列表
2. 将请求路径中的订单号替换为他人订单号（占位 <ORDER_ID>）
3. 发送请求并观察响应
预期：返回 403
实测：返回 200，且响应含他人订单字段批量性验证只写“小样本验证”结论：不描述规模化获取方法。
复现步骤写法
复现步骤写给要验证修复的人：前置条件、编号步骤、预期结果与实测结果分开；使用占位符而非真实数据，不提供可直接滥用的完整载荷。
易错点
- 步骤写成长篇完整操作链路，超出报告必要范围
- 缺前置条件，复测人员无法还原环境
数据来源与参考
- OWASP WSTG（复现记录）