为什么要单独讲法律边界
未授权扫描、越权访问与数据抓取在多数司法辖区都可能被认定为违法：轻则行政处罚与民事赔偿，重则触及刑法中计算机信息系统相关条款。行业里翻车的案例多数不是技术失败，而是授权与边界失守——授权文件缺失、范围外资产、过期项目继续测，都会让服务方与个人同时暴露在追责风险下。
基本信息
| 适用对象 | 服务方、项目经理、执行测试人员 |
|---|---|
| 主要风险 | 行政处罚、民事赔偿、刑事责任 |
| 法律依据 | 网络安全法、数据安全法、刑法相关条款 |
| 有效期 | 授权文件须覆盖整个项目周期，过期即失效 |
| 留痕要求 | 授权原件、范围清单、过程日志全程留存 |
常见翻车情形
- 帮朋友「免费看一下」网站漏洞，未签任何授权
- 客户口头同意就开扫，事后无法证明授权范围
- 项目周期已结束、授权过期仍继续测试
- 竞标演示使用未授权目标的真实数据
- 离职人员对前雇主系统做「验证性」扫描
- 把测试中获取的数据留存到个人设备
开工前自保检查
开工前自保检查
# 授权：合同、授权书、范围清单三份齐全且在有效期内？
# 范围：资产清单与授权书逐条比对，域名与 IP 归属已核验？
# 过程：每个动作都能对应到授权条目，操作日志可回溯？
# 数据：测试数据在项目结束后按约定销毁并留凭证？
# 例外：发现越界风险立即停止并书面报告？
# 人员：外包与借调人员均已签署保密与授权文件？风险类型对照
| 风险类型 | 典型行为 | 可能后果 |
|---|---|---|
| 行政责任 | 未授权扫描、干扰系统正常运行 | 责令整改、罚款 |
| 民事责任 | 越界访问造成数据泄露或业务损失 | 赔偿损失、承担违约责任 |
| 刑事责任 | 入侵系统、非法获取数据 | 按刑法相关条款追究 |
| 合同违约 | 超出授权范围测试 | 扣减项目款、终止合作、列入供应商黑名单 |
授权范围之外的一台主机、一个域名，都可能让整个项目的合法性归零；归属不确定的资产一律先停下并书面确认。
留痕不是形式：过程日志与授权文件是事后唯一能自证「始终在范围内」的材料。