测试方法论概览
方法论提供的是阶段模型与检查基线，让测试过程有章可循、交付物结构一致。主流三类各有侧重：PTES 管流程，把测试划分为预交互、信息收集、威胁建模、漏洞分析、验证、后渗透、报告等阶段，适合全流程服务；OWASP 测试指南管检查项，为 Web 与 API 测试提供逐条可勾选的清单，适合细化覆盖面；等保测评与合规要求则提供监管视角，常作为项目叠加需求。三者不是互相替代的关系，实践中常见的组合是：流程用 PTES，检查项用 OWASP，合规要求另行叠加。方法论是骨架不是枷锁，按项目目标裁剪并写进方案。
基本信息
| PTES | 预交互、信息收集、威胁建模、验证、报告等阶段模型 |
|---|---|
| OWASP | Web 与 API 测试指南的检查项清单 |
| 等保与合规 | 监管视角的测评要求，常作为叠加需求 |
| 组合方式 | 流程用 PTES，检查项用 OWASP，合规另行叠加 |
| 使用原则 | 按项目目标裁剪，写明所用版本与适用性 |
典型使用场景
- 全流程服务：用 PTES 阶段保证交付物结构完整
- Web 专项：用 OWASP 检查项保证覆盖面
- 合规项目：叠加等保或行业监管要求
- 大团队协作：统一阶段命名与产出物定义
- 方案撰写：在测试方案中标注所用方法论与版本
选择建议
选择建议
# 常规 Web 测试：OWASP 检查项 + 自建清单
# 全流程服务：PTES 阶段 + 报告标准
# 合规项目：叠加等保测评要求
# 关键：写明所用版本，不同版本的检查项有差异方法论对比
| 方法论 | 侧重 | 主要产出 |
|---|---|---|
| PTES | 流程阶段与产出物 | 阶段成果与标准报告结构 |
| OWASP 测试指南 | Web 与 API 检查项 | 检查项结论表 |
| 等保测评 | 合规要求与测评项 | 合规测评结论 |
| 自建清单 | 项目特定风险 | 定制化检查表 |
方法论是骨架不是枷锁：按项目目标裁剪并写进方案，说明为什么裁掉某些环节，比机械照搬更专业。
宣称做全套 OWASP 测试却没核对检查项版本、也没保留单项结论，交付物无法追溯，容易在验收时被质疑。