渗透测试中数据泄露的最小化取证原则

渗透测试发现接口能返回真实用户数据时，取证目标不是证明“能拿到多少”，而是用尽可能少的接触证明访问控制存在问题。继续翻页、遍历或导出，可能增加泄露面，也会让测试方持有本不需要的数据。最小化取证的边界应在测试前写入交战规则，并约定发现真实数据后的停止与上报路径。

现场应立即停止对相关接口或存储的进一步访问，不为估算影响范围而追加请求。优先记录已发生请求的时间、目标资产、请求方法、脱敏后的路径、复现条件，以及响应状态和字段结构。报告可以说明哪些角色在何种条件下能够访问数据；除非复核确实离不开，否则不保留真实记录，更不把完整响应粘贴进沟通消息。“可复核”要求证据足以定位和判断问题，不等于复制一份受影响数据。

证据还要控制流转范围。保存前检查请求参数、截图和代理日志中是否夹带身份信息或凭据；确需留存的材料按约定方式存放，记录文件位置、完整性校验信息和处置状态。上报时说明发现位置、已观察到的影响及测试是否暂停，由授权方决定后续处置。若需要验证修复，应在确认后使用最小请求检查访问控制是否生效，而不是再次拉取数据。

测试结束并不意味着证据可以无限期保留。临时数据、缓存和不再需要的日志应按约定清理；必要证据则按约定期限保存、到期销毁，并留下清理记录。这样既能让漏洞结论经得起复核，也避免测试过程本身成为新的数据泄露环节。