法律红线是什么
渗透测试的合法性完全建立在授权与约定范围之上。《网络安全法》《数据安全法》《个人信息保护法》以及《刑法》中关于非法侵入、非法获取数据、破坏计算机信息系统的条款，共同划定了安全测试的行为底线：授权范围内的安全测试是受托服务，未授权的探测、入侵与数据获取则可能构成违法甚至犯罪。两者的技术动作可能一模一样，区别只在是否获得授权。这里不是法律意见，而是从业者的行动约束：不确定是否在范围内时，唯一正确做法是停下来确认，而不是先做了再说。
基本信息
| 法律框架 | 网络安全法、数据安全法、个人信息保护法、刑法相关条款 |
|---|---|
| 核心原则 | 授权范围内的安全测试与未授权入侵是本质不同的两回事 |
| 数据要求 | 个人信息处理需有合法性基础，测试中应最小化接触 |
| 责任主体 | 越权行为由行为人及其所属机构承担法律后果 |
| 从业底线 | 不测范围外资产、不下载无关数据、不植入持久化程序 |
典型使用场景
- 开工前风险交底：向项目组说明哪些行为可能触法，统一认识
- 范围外发现资产：明确其不属于已授权范围，须先走补充授权再处理
- 测试中遇到个人信息：判断是否需脱敏、是否必须立即停止采集
- 发现真实入侵痕迹：区分测试行为与第三方攻击，避免误判与灭证
- 交付与存档：确认过程中没有留下可能被认定为越界的动作痕迹
安全底线
安全底线
# 不碰范围外资产：清单之外一律不探测、不扫描、不访问
# 不下载与测试无关的数据：能证明问题即可，不多取一份
# 不植入任何持久化程序：不上传后门、不留计划任务、不新建账号
# 不干扰业务连续性：默认不做 DoS，写入动作只在测试环境
# 超范围或异常立即停止：记录现场信息并第一时间上报高风险行为对照
| 行为 | 是否合法 | 说明 |
|---|---|---|
| 授权范围内的漏洞验证 | 合法 | 受托服务，动作限定在 ROE 允许范围 |
| 范围外探测与访问 | 可能违法 | 缺乏授权基础，性质接近未授权入侵 |
| 下载真实业务或个人数据 | 可能违法 | 超出最小必要，受个人信息保护法约束 |
| 植入持久化程序 | 高风险 | 即使授权范围内，也多在禁止清单之中 |
| 发现真实入侵后继续深入 | 不建议 | 应保全证据并转交客户，避免破坏证据链 |
测试人员应把授权意识放在首位：技术再强，越界即违法。把“这条请求在授权范围内吗”作为每个动作前的自问。
本节仅为从业约束提示，不构成法律意见。项目涉及跨境数据、个人敏感信息或关键信息基础设施时，应咨询委托方法务或专业律师。