很多人对"授权"的理解是"对方说可以就行"。真出事的时候，这句话在法律上几乎没用。这篇是通俗版说明，不构成法律意见。
有效授权至少要有这四项
- 主体明确：授权方得是有权处置该系统的人或单位，而不是"某个同事说没问题"
- 范围明确：哪些域名、IP、时间段；范围外的目标一律不能碰
- 时间明确：起止日期，过期即失效
- 书面留痕：邮件、合同都行，关键是要能证明"谁在什么时候授权了什么"
几种常见的"其实不算"
- 朋友说"随便测，我这站不重要" —— 如果这个站还挂着别人的业务，朋友未必有权授权
- 测试环境就随便来 —— 测试环境里也常有真实数据
- 只测一个页面 —— 你没被授权去测同域名的其他路径
- 漏洞赏金"我提交了就算授权" —— 授权范围以对方公示的规则为准，规则外的资产不能动
操作上的三个习惯
- 把授权范围存成一份文档，每次测试前先看一眼边界
- 过程中记录时间、动作、结果，出问题能自证
- 发现越权可拿的数据，立刻停止、不下载、不扩散，直接联系对方
和你自己站点有关的部分
反过来说，如果你自己运营一个站点，别人来"帮你测"之前，也建议要求对方给一份范围说明；服务器日志留好，出现异常访问能第一时间对上。
