方法章节回答什么
方法章节要说明结论是怎么来的：分了哪些阶段、哪些环节用工具、哪些靠人工验证、按什么标准组织测试、覆盖到哪里、哪些没覆盖。它的读者是后续要复核或整改的人，因此写法上要能被解释、被重复，而不是罗列工具名称。
基本信息
| 参照标准 | OWASP WSTG、PTES，或客户指定的行业规范 |
|---|---|
| 执行方式 | 以手工验证为主，工具结果一律经人工复核 |
| 账号与权限 | 使用客户提供的专用测试账号，标明权限级别 |
| 覆盖说明 | 抽样策略、测试深度、执行时间窗 |
| 限制声明 | 不可达资产、未授权范围、第三方托管服务 |
方法章节应包含的要素
- 阶段划分：信息收集、验证测试、内网评估、复核复测各自的边界
- 工具与人工的分工：说明工具结果如何被复核后才计入结论
- 账号说明：测试账号来源、权限范围、是否存在权限提升测试
- 覆盖与抽样：全量与抽样的判定依据，避免被误读为全覆盖
- 限制与假设：环境差异、无法接入的系统、时间窗外的行为
示例表述
示例表述
- 参照 OWASP WSTG 与 PTES 组织测试阶段
- 认证类测试使用客户提供的专用测试账号，权限为普通用户
- 工具输出仅供参考，所有结论均经人工复核并留存证据
- 抽样说明：对 32 个业务接口中的 12 个做了越权验证
- 未覆盖：委托第三方托管的营销站点，不在本次授权范围章节要素与写法
| 要素 | 写法要求 | 常见问题 |
|---|---|---|
| 标准参照 | 写明标准名与版本或条目编号 | 只写行业最佳实践，无法核对 |
| 执行方式 | 说明手工与工具的先后关系 | 只列工具清单，读者不知道结论可信度 |
| 账号 | 写明账号来源与权限级别 | 未说明是否做过提权测试 |
| 覆盖 | 给出抽样比例与依据 | 未说明抽样，被理解为全覆盖 |
| 限制 | 逐条列出未覆盖范围 | 限制写在脚注，读者容易漏看 |
写成可重复的描述，好处是复测时能沿用同一口径：两轮报告的结论差异才有解释力。
限制声明不要省：未声明的空白范围一旦出问题，会被理解为已测且无风险。