01Scope / 能扫什么
按你手里有什么分
01 / SOURCE
源码包 / Git 仓库
Web/后端源码，zip/tar.gz 或只读仓库；SAST、依赖漏洞、密钥、配置。支持 Node/TS、Python、Java、PHP、Go 等常见栈。
02 / WEB
网站 URL（被动基线）
只做被动检查：安全响应头、Cookie、TLS、信息泄露、部分配置；不做登录后、不做主动攻击。
03 / MINIAPP
小程序源码
微信原生、Taro、uni-app；静态规则检查 token 存储、未过滤输入、危险 API。不做线上体验版动态测试。
04 / CONFIG
容器 / IaC 配置
Dockerfile、K8s、Terraform 等配置基线；镜像/依赖风险。只做静态检查，不执行部署。
02Out of scope / 不能扫什么
这些不要买错
不做
- 渗透测试、漏洞利用、主动攻击；
- 登录后的深度测试；
- APP 动态分析；
- 小程序线上体验版动态测试；
- 加密/混淆/二进制逆向；
- 等保测评、合规认证；
- 未授权代码/网站。
工具扫不出的
- 业务逻辑漏洞；
- 支付/权限绕过的完整验证；
- 运行时/并发/架构问题；
- 0-day；
- “上线后绝对安全”。
03Authorization / 授权
只处理你有权处理的代码
- 你是代码所有者，或已获得书面授权；
- 提供授权人/授权书编号/订单号；
- 扫描前确认范围、仓库数量、技术栈；
- 不接收生产数据库、用户数据、账号密码；
- 发现疑似生产密钥，只做脱敏提示，不尝试使用。
04Privacy / 代码怎么处理
隔离、脱敏、删除
处理方式
- 隔离容器扫描，不开放公网端口；
- 源码只读挂载，不执行构建脚本；
- 扫完删除源码，只保留脱敏报告；
- 日志不记录源码内容；
- 可签 NDA，按约定保留/删除报告。
报告边界
- 基于提供代码和扫描时点；
- 存在误报/漏报可能；
- 不构成安全担保；
- 不替代律师/等保测评；
- 对外引用报告需注明范围。
05Checklist / 授权清单
发代码前，先过这 5 条
- 我是代码/站点所有者，或已获得书面授权；
- 我确认扫描范围：仓库/域名、技术栈、页面数；
- 我不提供生产数据库、用户数据、账号密码；
- 我理解报告边界：不构成安全担保/渗透/等保；
- 我确认源码删除方式、报告保留期限，必要时签 NDA。
06FAQ / 常见问题
客户最常问的 6 个问题
源码怎么发？
确认范围和授权后，走加密压缩包/私有通道；官网不接收上传，先不要直接发源码。
扫完会删吗？
会。隔离容器扫描，结束后删除源码，只保留脱敏报告和删除记录；可签 NDA。
网站能扫吗？
能，但只做被动基线：安全头、Cookie、TLS、信息泄露；不做登录后/主动攻击。
APP 能扫吗？
首版不做 APP 动态/源码；先做 Web 源码、网站基线、小程序源码。
多久出报告？
代码快检 3 个工作日；标准体检 3–5 个；网站基线 2 个工作日；以确认范围为准。
报告能对外用吗？
可以，但需注明范围、扫描时点和限制；不能当作安全担保/等保结论。
不确定能不能扫？
先做范围判断 →说清项目阶段、代码类型、授权情况，先判断再报价。