范围与方法章节
范围与方法章节确定整份报告的效力边界：写清楚测了什么、没测什么、什么时候测、以什么方式测。内容包括资产清单（与资产台账编号一致）、测试时间窗（标明时区）、测试类型（黑盒或灰盒、外部或内部、是否含社会工程）以及各类限制条件；排除项必须单列并注明原因与批准人。这份章节最大的作用是在复测、验收或争议时提供明确的边界依据，避免双方对「测过没有」各执一词。
基本信息
| 必写要素 | 资产清单、时间窗、测试类型与深度 |
|---|---|
| 排除项 | 单列并注明原因、批准人与批准时间 |
| 限制条件 | 环境限制、权限限制、可见性限制 |
| 变更记录 | 中途范围调整需记录时间、内容与批准 |
典型使用场景
- 大型项目多轮评估：明确每轮的资产范围与时间边界
- 多方协作：客户、运维与评估方对同一份清单达成一致
- 验收争议：用书面范围界定双方责任
- 复测对照：复测范围与原报告保持一致，结论才可比
- 合规审计：监管或内审需要查看评估覆盖范围
范围章节模板
范围章节模板
资产：域名、网段与系统清单（带编号，与资产台账一致）
时间：YYYY-MM-DD HH:MM 至 HH:MM，注明时区
类型：黑盒/灰盒、外部/内部、是否包含社会工程
排除：某某系统或网段（写明原因、批准人与批准日期）
变更：日期 + 变更内容 + 批准记录
限制：测试窗口、账号权限与网络可视性的约束要素与写作要求
| 要素 | 写作要求 | 常见缺失 |
|---|---|---|
| 资产清单 | 带编号并与台账对应 | 只写域名，复测时对不上 |
| 时间窗 | 精确到分钟并标时区 | 跨时区项目时间含义不清 |
| 测试类型 | 明确盒型与视角 | 未说明是否含内部视角 |
| 排除项 | 逐条写明原因与批准人 | 仅口头约定未写入报告 |
| 变更记录 | 含时间与批准信息 | 口头追加范围未留痕 |
范围表述必须与授权书一致；出现不一致时，以客户书面确认的记录为准，并在报告中注明。