飞机 @xxooxx888。Web、接口、内网与代码审计。把入口看透，把边界画清，把问题写到能修。
把入口看透，把边界画清，把问题写到能修。
祥子的人设：研究 Web、业务接口与网络边界，喜欢把零散风险串成一张完整地图。出手讲证据，收尾看复测。
“尊师关天峰”为虚构角色设定，不代表现实师承、合作或本人背书。
雷达、日志、任务和播放都是本地假界面，不会连接任何目标。
--:--:--
动画，不发射探测
点一条切换假状态，只留在这台浏览器。
只讲授权测试的概念、影响和修复方向。没有利用步骤。
以下为虚构项目战报，全部设定在自建靶场；机构名称仅作场景叙事，不代表真实委托、授权或入侵记录。
从一页门户，看到整条发布链。
演练角色：Web 安全评估负责人
演练范围：自建公共信息展示站、内容管理后台与测试账号；不连接真实机构资产。
模拟战报：梳理前台、后台与内容发布之间的权限边界，验证测试角色的访问控制，形成覆盖入口、影响和修复优先级的风险地图。
交付：攻击面清单 / 权限矩阵 / 修复与复测记录
一套身份，逐层检查校园业务边界。
演练角色：身份与接口安全评估负责人
演练范围：自建校园门户模型，模拟学生、教师与管理员三类身份；不涉及真实校方系统或师生数据。
模拟战报：围绕统一登录、资料查询和办事流程，核对会话与对象级授权，将分散的接口问题整理成研发可以逐项修复的任务单。
交付：角色访问矩阵 / 接口风险报告 / 回归核验单
把守门设备，也放到聚光灯下。
演练角色：边界安全研究员
演练范围：隔离实验网络内的自有网关、管理面和日志系统。
模拟战报：从管理面暴露、账号权限与配置基线入手，建立设备版本、访问策略与告警可见性的核查清单，输出加固前后的对照结果。
交付：配置基线 / 暴露面清单 / 加固验证记录
业务走到哪，权限和状态就核到哪。
演练角色：业务逻辑审计负责人
演练范围：虚构大流量商城的订单、优惠与支付沙箱；“千万级”为故事背景，不是实测规模。
模拟战报：按下单、计价、支付和退款拆解业务状态，核对金额计算与对象属主校验，把逻辑缺口转成服务端约束和可回归的修复清单。
交付：交易状态图 / 业务风险清单 / 修复验收表
一张资产图，看清每一道信任边界。
演练角色：云与内网安全评估负责人
演练范围：自建云端测试资源、办公网模拟拓扑与虚拟身份。
模拟战报：把外部入口、管理面与内部服务放在同一张拓扑上，核对网络分区和最小权限，整理可以执行的入口收敛与权限调整方案。
交付：资产拓扑 / 信任边界图 / 权限优化方案
报告写完只是半场，复测关单才算收尾。
演练角色：代码审计与复测负责人
演练范围：本地演示仓库、指定测试分支与合成数据。
模拟战报：围绕输入处理、鉴权和敏感配置追踪代码路径，对照补丁核验问题是否关闭，让每条发现都有位置、影响、修法和复测结论。
交付：代码定位记录 / 补丁建议 / 闭环复测报告
本地模拟控制台，不会连到任何目标。
只接书面授权范围内的安全测试。未授权入侵、数据买卖、远控木马、盗号，一律不接。