很多企业在上线或大版本发布前才想起做安全检测，结果往往是：范围说不清、报告看不懂、漏洞修不完。本文把正确姿势拆成 5 件事。
检测范围不是"整个网站"，而是可枚举的功能点：登录、注册、搜索、下单、上传、后台管理、API 接口……每个功能点都是注入、越权、认证问题的潜在落点。清单越清晰，检测越到位，报价也越准。
只对自有或持有书面授权的目标检测。授权说明写清楚：目标资产、测试时间窗、允许的测试类型、紧急联系人。这既是合规要求，也是出问题时保护自己的前提。
先做只读/低风险检测（配置检查、指纹识别、逻辑验证），需要验证高危点（如注入确认）时再评估是否加深，且严格限制在时间窗内。业务高峰不做破坏性验证。
好报告 = 风险等级 + 复现步骤 + 证据截图 + 修复建议，缺一不可。验收标准：开发照着建议能修，修完能复测确认。
检测不是一次性动作。修复后复测确认闭环，才是真正的"检测完成"。这也是为什么标准版以上附复测。
—— 需要帮助？提交需求，当日给方案。