| 原则 | 最小必要：只触碰证明问题所需的资源 |
|---|---|
| 人员 | 不骚扰非目标员工 |
| 数据 | 不查看与漏洞无关的内容 |
边界自检
边界自检
这次请求必要吗？
返回的数据与漏洞有关吗？
有没有更轻量的验证方式？
记录里要不要脱敏？越界的诱惑常出现在“顺手看一眼”的瞬间，边界意识靠平时训练。
权限边界与最小必要
测试过程中的每一步操作都要问：这个动作与验证目标有关吗？无关的数据、系统与人员都不要碰。
易错点
- 用越权漏洞浏览了无关业务模块
- 把截图中的真实用户信息原样写进报告
数据来源与参考
- 中华人民共和国个人信息保护法
- 通用安全测试职业准则