如何区分新增告警与历史噪声?

告警第一次出现在报告里，并不等于它就是新增问题；告警存在时间较长，也不等于它可以继续忽略。区分新增告警与历史噪声，核心不是看名称或数量，而是比较同一应用、同一扫描范围、同一认证状态和同一规则配置下的结果变化，并核对每条告警是否有明确的复现证据与处置记录。

先建立可比的历史基线

基线扫描的价值，在于形成可持续比较的结果，而不是单次报告。每次流水线运行都应保留报告，并记录目标环境、扫描范围、认证配置、规则文件和执行时间。若本次结果出现了历史报告中不存在的告警，且请求路径、参数或响应证据发生了实际变化，它才具备“新增告警”的初步特征。

比较前必须确认扫描条件一致。登录态失效时，后台页面可能从已认证响应变成登录页或 401，这会造成表面上的告警减少；爬虫入口变化或规则配置调整，也可能造成告警数量突然增加。认证会话、目标地址和规则文件只要发生变化，前后结果就不能直接判定为新增或消失。

“历史”不等于“噪声”

历史噪声应当有明确的判定依据，通常包括低置信度、无法稳定复现、仅反射输入但没有证据表明可执行，或经人工确认属于预发布环境中的已知测试桩。相反，一条高风险、高置信度且尚未修复的旧告警，仍然是有效风险，不能因为它已经存在多次就从门禁中排除。

对候选告警，应使用扫描工具重放请求或手工构造请求，确认响应证据、影响范围和复现稳定性。确认误报后，在规则文件中记录排除原因、确认人和复核时间；排除项还应设置有效期，避免应用改版后继续掩盖真实问题。

把差异转化为门禁规则

流水线不应以原始告警总数作为唯一失败条件。高风险且高置信度的新增告警可直接阻断构建；中风险问题进入通知和修复队列；低置信度告警或已登记误报则保留记录但不阻断。修复后，必须使用相同的范围、认证和规则配置复跑，并同时检查目标告警是否消失、是否产生新的高价值告警。

这样处理后，“新增”代表经过可比验证的变化，“噪声”代表有证据、有责任人、可复核的处置结果，而不是简单地把重复出现的告警归档。