用认证探针验证DAST扫描范围

DAST 报告显示“未发现漏洞”，不等于受保护页面已经被扫描。扫描器可能始终停留在登录页，也可能登录成功后会话失效，后续请求又退回未认证状态。要判断扫描是否有效，应在扫描前和扫描过程中设置认证探针：用与扫描器相同的身份和会话，访问一个明确需要登录、且属于本次扫描范围的页面，确认返回的是受保护内容，而不是登录表单或跳转后的公开页面。

探针应验证两件事。第一是身份是否生效：对照未认证访问的结果，检查认证后的响应是否呈现预期的访问差异。不能只看请求是否成功，因为登录页也可能正常返回。第二是范围是否可达：探针所访问的页面应代表本次要测的受保护区域；如果扫描目标只配置了公开入口，即使探针单独通过，也不能证明爬取过程覆盖了认证后的路径。

扫描过程中还要再次检查认证状态。预发布实例可能仍可访问，但会话已经过期，此时继续产出的报告应视为覆盖不足，而非安全通过。流水线应保留探针结果与扫描记录，同时避免在记录中暴露凭据或会话信息。认证使用专用的最小权限测试账号，凭据交由密钥管理；若目标功能要求更高权限，就应明确该账号无法覆盖的范围，不把“未扫描”写成“未发现”。

探针失败时，先排查账号权限、会话保持和扫描入口，再重新运行扫描。预发布环境仍需保留供排查和复测；真正需要暂停的是向生产环境晋升。这样，门禁判断的依据才不只是扫描器的退出结果，还包括扫描器是否确实看到了它应当测试的区域。