安全验证交付前的最后检查做 漏洞利用与缓解绕过栈/堆溢出、ASLR/DEP 绕过技术剖析 时从原型到生产的验收清单往往不是补一份文档就能解决的事。先把对象、约束和判断依据摆出来授权测试范围、缓解配置、补丁状态和行为证据。如果这些基础信息说不清后面的自动化、评审和上线判断都没有可靠的落点。交付前重走高风险路径这篇只讨论经过授权的开发、测试和防护工作。它不提供对真实目标的攻击步骤也不把未复现的现象写成结论。开始前应注明数据来源、可操作的权限以及出现异常时谁负责停下流程。版本和证据必须对应原型验证的是可行性生产验收验证的是边界。两者之间至少要补齐身份认证、权限控制、失败处理、日志脱敏和依赖治理。验收清单按用户旅程编写正常请求、越权请求、异常输入、依赖失败和回滚。每项写清责任人、证据和通过标准。没有通过的项目不要用口头承诺替代。记录风险接受范围和修复计划确保上线决策可追溯。例外配置单独签收留下的记录至少包括本次范围和前提、使用的版本与配置、验证输入及结果。运行侧则保留测试授权、配置快照、风险判断与修复验证记录。记录不需要堆满日志它应能让另一位同事沿着同一条件确认判断或发现判断在哪一步失效。通过不等于没有缺口从原型到生产的验收清单的价值在于把“看起来可行”变成可验证、可回退的工作安排。变更范围扩大前先确认当前约束仍成立条件变了就重新评估。