上线安全测试要覆盖身份、输入、文件和依赖，不只是执行一次扫描。工具发现不了所有业务权限问题。

准备角色样本

不同权限账号与测试数据，尝试跨资源读取和修改，验证拒绝路径。

检查输入与上传

长度、类型、路径与频率约束在服务端，敏感文件不可公开下载。

处理测试结果

风险按实际可利用性与影响排序，修复后回归功能与漏洞。保留授权范围，不对不属于项目的系统执行测试。

上线测试区分正常与拒绝路径

合法登录、发布与咨询可用，越权、非法上传和重复请求应受到处理。

记录具体输入和响应，问题修复后重测；只跑扫描或只看首页，都不足以覆盖业务边界。

例如普通账号替换编号即可查看管理员资料，应作为越权问题修复并复测，而非只调整前台按钮。

相关阅读：企业网站安全基线：资产、风险与上线检查。