漏洞条目为什么要模板
发现条目用固定模板：标题、等级、位置、原理、复现、证据、影响、修复建议、参考。字段顺序固定带来的好处是可检索、可跟踪、可跨期对比：整改方按位置定位，复测时按复现步骤验证，管理层按等级排序资源投入。评审中最常见的争议（定级不一致、无法复现）几乎都能通过统一模板消除。
基本信息
| 字段 | 标题 / 等级 / 位置 / 原理 / 复现 / 证据 / 影响 / 修复 / 参考 |
|---|---|
| 标题写法 | 问题类型 + 位置 + 现象，一眼能看懂 |
| 复现要求 | 最小步骤、可重复、不依赖特定工具 |
| 修复分层 | 临时缓解与根治方案分别写清 |
典型使用场景
- 多项目并行时统一报告风格与字段口径
- 整改跟踪表直接由条目字段生成
- 复测报告与上期条目做逐条对照
- 跨期对比同类问题的整改趋势
- 把技术条目转化为业务语言的影响描述
条目模板示例
条目模板示例
【标题】订单查询接口存在越权访问
【等级】高（CVSS 3.1：7.1 / 业务定级：高）
【位置】https://app.example.com/api/v1/orders/{id}
【原理】服务端未校验订单与当前会话的归属关系，仅按订单号返回数据
【复现】1) 登录测试账号 2) 请求他人订单号（参数占位符）3) 观察返回 200 与订单详情
【证据】脱敏请求与响应片段，采集时间 2026-10-12 14:20（+08:00）
【影响】可读取他人订单信息，含收货地址与联系方式
【修复】服务端补充归属校验；网关层可先按接口限流降低批量拉取风险
【参考】OWASP API Security Top 10（API1:2023）字段与写作要求
| 字段 | 写作要求 | 常见缺陷 |
|---|---|---|
| 标题 | 问题类型 + 位置 + 现象 | 只写“越权”无法定位 |
| 等级 | CVSS 与业务定级同时给出 | 只写等级不写依据 |
| 位置 | 完整地址或组件与版本 | 位置模糊导致无法整改 |
| 复现 | 最小步骤、可重复 | 步骤过简，修复后无法验证 |
| 影响 | 业务语言 + 数据范围 | 只写技术后果 |
| 修复 | 临时与根治分层 | 建议过于笼统 |
等级字段同时保留 CVSS 与业务定级：两者冲突时在评审中记录取舍理由，避免复测时口径变化引起争议。
复现步骤要写成“另一个人照着做就能重现”的程度：省略的登录方式、测试账号与环境前提都是复测失败的常见原因。