修复验证是什么
验证是闭环的最后一公里，方式按修复类型选择：升级类做版本核查，配置类做配置核查，访问控制与功能类做行为验证。三者常常组合使用，并留存命令输出、时间与执行人作为证据。验证的核心区分是「已安装」与「已生效」——很多组件必须重启进程或整机才加载新版本。
基本信息
| 验证方式 | 版本核查 / 配置核查 / 行为验证 |
|---|---|
| 证据留存 | 命令输出 + 时间 + 执行人 + 变更单号 |
| 抽样原则 | 同批次资产至少抽样到不同环境与不同部署方式 |
| 回归要求 | 确认修复未破坏正常业务功能 |
版本核查
版本核查
nginx -v # 组件版本
rpm -q openssl # 包版本（Debian 系用 dpkg -l openssl）
rpm -q --changelog openssl | grep -i CVE | head # 确认发行版回移植的修复记录
Get-HotFix -Id KB5034441 # Windows 补丁编号核查
# 输出与公告中的修复版本比对，注意区分上游版本与发行版包版本配置与行为核查
配置与行为核查
nginx -T | grep -i 'ssl_protocols' # 配置是否按预期生效
curl -sk -o /dev/null -w '%{http_code}\n' https://site.example.com/patched-path
# 行为核查：原问题路径返回预期的阻断结果（如 401/403）
systemctl status nginx | head -5 # 确认服务已重启并加载新版本典型使用场景
- 补丁窗口收尾：逐台核查版本并记录证据后关闭工单
- 配置类整改：确认配置文件与运行时实际生效值一致（而非只有文件被改）
- 行为验证：对访问控制类问题复测原路径可否绕过
- 抽样复核：批量修复后抽取不同环境与部署方式的资产验证
- 审计取证：导出验证证据用于等保测评与内部审计
验证方式与适用修复
| 方式 | 适用修复类型 | 判断标准 |
|---|---|---|
| 版本核查 | 升级补丁、组件更换 | 版本进入修复区间且进程已重载 |
| 配置核查 | 配置加固、策略调整 | 运行时生效值与目标一致 |
| 行为验证 | 访问控制、鉴权、过滤 | 原攻击路径返回预期阻断结果 |
| 组合验证 | 复杂修复或框架级整改 | 三项均通过并留存证据 |
升级类修复要确认『生效』而非仅确认『已安装』：部分组件需重启进程或整机重启才加载新版本，重启前的老进程仍是旧代码。
内核与关键系统库类更新往往需要重启或安排停机窗口，未完成的条目要显式标记为「待重启」，不要提前关闭工单。