角色分工解决什么问题
渗透项目里最容易出问题的地方不是技术，而是接口混乱：多人同时对客户发言，进度与结论口径不一致；高危结论无人复核，误报直接进报告。明确角色可以同时解决这两类问题——对外只有一个接口人，对内结论必须经过复核，执行与记录分离。
基本信息
| 项目负责人 | 对接客户，决策中止与恢复，裁定范围争议 |
|---|---|
| 主测 | 执行验证并即时记录，按方向分工 |
| 复核 | 验证结论、排除误报，高危结论签字 |
| 联络 | 汇总日志与进度，维护证据归档结构 |
| 配置要求 | 高风险环节至少两人在场，主测与复核分离 |
典型使用场景
- 多方向并行时按 Web、主机、内网划分主测职责
- 发现高危问题时由负责人统一对外通报节奏
- 交付前由复核人对每条高危结论逐项确认
- 项目中途更换人员时按角色交接，避免记录断档
- 客户临时增加范围时由负责人评估工作量与影响
分工示例
分工示例
# 负责人：对外沟通、范围争议裁决、熔断与恢复决策
# 主测一：Web 与接口方向，负责请求记录与证据截图
# 主测二：主机与内网方向，负责权限边界与可达路径
# 复核：所有高危与严重结论上线前复核签字
# 联络：每日汇总进度，维护证据目录与编号一致性角色职责读法
| 角色 | 核心动作 | 红线 |
|---|---|---|
| 负责人 | 统一对外口径与决策 | 不得绕过授权范围口头承诺客户需求 |
| 主测 | 执行并如实记录 | 不得在没有记录的情况下执行变更类动作 |
| 复核 | 验证结论真实性 | 不得直接采信工具输出的推测结论 |
| 联络 | 归档与进度同步 | 不得向非授权人员分发过程数据 |
复核环节是报告质量的关键：没有复核的团队迟早会交出误报，返工成本远高于当场确认。
小团队可以用人员交叉覆盖代替专职分工，但执行与复核必须是不同的人。