报告骨架怎么定
报告用固定骨架组织：执行摘要、范围与方法、发现清单、附录。这套结构的价值在于同时服务三类读者——管理层只看摘要与风险，技术团队看复现与修复建议，合规与审计看范围、方法与证据索引。全篇的风险等级口径、术语与命名必须统一，否则同一问题在摘要与正文里出现两种说法，报告的可用性会大打折扣。
基本信息
| 骨架 | 执行摘要 → 范围与方法 → 发现清单 → 附录 |
|---|---|
| 读者分层 | 管理层 / 技术团队 / 合规与审计 |
| 篇幅建议 | 摘要 1-2 页，发现逐条展开，附录不计入主体 |
| 一致性 | 等级口径、术语、资产命名、时间格式全篇统一 |
典型使用场景
- 项目启动时与客户确认报告结构与交付格式
- 多人协作项目中统一写作口径，避免章节风格割裂
- 复测报告中记录上期问题的处置状态
- 向合规审计提交可追溯的范围与证据索引
- 把技术发现转化为管理层可决策的优先级清单
推荐目录
推荐目录
1. 封面与保密声明：项目名称、版本号、分发等级、日期
2. 执行摘要：总体结论、关键发现（不超过 5 条）、修复优先级
3. 范围与方法：授权资产、时间窗、工具清单、测试限制与假设
4. 发现清单：按等级排序，逐条含位置、原理、复现、证据、影响、修复
5. 附录：资产清单、工具清单、日志与证据索引、脱敏说明、术语表章节与读者
| 章节 | 主要读者 | 写作要点 |
|---|---|---|
| 执行摘要 | 管理层 | 业务语言，不含大段技术细节 |
| 范围与方法 | 合规与客户接口人 | 写清授权边界与限制条件 |
| 发现清单 | 技术整改团队 | 可复现、有证据、有修复方向 |
| 附录 | 审计与后续评估者 | 可检索、编号一致、注明脱敏处理 |
每章开头写一句导读，说明这一章解决什么问题：非技术读者能据此快速定位所需信息，评审时也更容易达成共识。
等级口径要在报告开头定义一次（例如高/中/低分别对应什么影响与修复时限），后续段落直接引用，不再逐处解释。