测试范围界定是什么
范围界定是把“测什么”从口头描述固化成可执行资产清单的过程，输出物通常是一张表：每一行是一个目标，写明类型（域名、IP 段、应用系统、接口、账号）、归属、环境（生产或测试）以及该目标允许的动作。范围一经冻结，测试期间的新增或删减都要走书面变更。范围界定的难点不在列清单，而在归属核验——云主机、CDN 后端、SaaS 租户、共享主机上的邻居资产，表面看在同一域名或同一网段下，实际控制权可能属于第三方，测错对象就是从服务变成越界。
基本信息
| 输出形式 | 资产清单表：目标 + 类型 + 归属 + 环境 + 允许动作 |
|---|---|
| 确认方 | 由委托方提供并逐项确认归属 |
| 覆盖内容 | 域名、IP 段、应用系统、API、测试账号、办公网出口 |
| 边界处理 | 范围外资产即停即报，不深入、不留后手 |
| 变更 | 范围调整需补充授权并更新清单版本号 |
典型使用场景
- 项目启动：把客户口述的“测一下我们的系统”落成可核对的资产清单
- 云与托管环境：区分自有资产与第三方托管资产，避免误测
- 多域名多子域场景：逐条标注用途与优先级，避免遗漏或重复测试
- 内网与办公网评估：明确 IP 段归属，绕开其他租户与无关网段
- 范围变更：新系统上线后走补充授权，同步更新清单版本
范围清单示例
范围清单示例
app.example.com # 生产，Web 应用，允许主动扫描与漏洞验证
admin.example.com # 后台管理入口，仅允许用测试账号做登录测试
203.0.113.0/28 # 办公网出口段，仅做被动信息收集
101.0.113.10-12 # 测试源 IP，需向客户报备加入白名单
api.example.com/v2/* # API 接口，含客户提供的测试账号
# 明确排除：pay-*.example.com（支付清算）、工控网段、第三方 SaaS 域名范围判定的边界情形
| 情形 | 处理方式 | 原因 |
|---|---|---|
| 清单内资产 | 按计划执行 | 已获授权，动作限定在 ROE 允许范围 |
| 清单外但同主体 | 记录并上报，等书面确认 | 授权仅覆盖清单所列目标 |
| 第三方托管（云/CDN/IDC） | 确认授权链后再定，必要时报备 | 平台侧可能要求单独报备 |
| 共享主机邻居资产 | 直接排除，不做任何探测 | 控制权不属于委托方 |
IP 段测试前用 whois、备案信息、证书日志交叉核对归属，避免把第三方托管资产纳入范围；归属存疑的目标先暂缓，由委托方确认后再决定。
范围含云上资产但未向云厂商报备，可能被平台安全组拦截，甚至被平台按入侵上报。报备入口与要求以所用云平台的帮助文档为准。