早上九点，渗透我盯着那份渗透测试报告，监测光标在“测试人员签字”栏旁边闪了又闪。报告甲方安全负责人老周在电话里催：“报告没问题就签吧，用签我们等着走流程。渗透”

我没签。监测因为报告第17页写着“发现高危漏洞3个”，报告但第22页的用签复测结果却只字未提这3个漏洞是否已修复。这种前后矛盾的渗透报告，签了就是监测给自己埋雷。

渗透监测报告到底用不用签字？报告我的答案是：分情况，但大部分情况下必须签，用签而且得想清楚再签。渗透

先说内部测试。监测你给自己的报告系统做渗透，报告签不签？我见过不少公司，测试完发个邮件就算完事。结果三个月后安全审计，发现漏洞还在，开发部门说“没收到正式报告”，安全部门说“已经通知了”，最后扯皮扯到CTO桌上。这时候一份签字确认的纸质报告就是最硬的证据——不是用来追责，而是用来明确“谁在什么时间知道了什么问题”。

再说外部渗透。乙方给你做测试，报告上必须有乙方项目负责人的签字。为什么？因为报告里写的是“我们测了哪些范围、用了什么方法、发现了什么”。如果乙方不签字，回头漏洞被利用了，乙方可以说“当时报告只是初稿，不代表最终结论”。这种案例我亲身碰过——合作方在报告里漏掉一个SQL注入点，三个月后数据泄露，对方翻脸不认账，说“报告没签字，不具备法律效力”。

但签字也不是无脑签。我见过最离谱的一份报告，测试方在“风险等级”栏把所有的漏洞都标成“低危”，因为合同里写了“高危漏洞扣款”。这种报告签了，等于你认可了对方的评级，后续想追责都难。

那怎么签才稳妥？我的习惯是：签字前逐页翻，重点看三处——测试范围是否与合同一致、漏洞描述是否具体到URL和参数、复测结论是否明确。如果报告里出现“疑似”“可能”“建议进一步排查”这类模糊词，直接退回让乙方改。记住，签字不是走形式，是对报告内容的背书。

有个细节很多人忽略：签字的位置。正规的渗透报告，签字栏应该包括“测试方负责人”和“被测方确认人”两栏。如果你只签了“确认人”，那意味着你认可报告内容，但不代表你承担测试责任。如果你签了“测试方负责人”，那出了问题，你跑不掉。

最近一次，我给一家银行做红队测试，报告改了四版才签。第一版漏洞描述含糊，第二版复测数据缺失，第三版风险评级明显偏高——后来发现是测试方想多报几个高危多收钱。第四版总算靠谱了，我签字的时候跟对方说：“这份报告我签了，但里面每个漏洞我都会让开发团队验证。”对方项目经理笑了笑，没说话。

其实签字这事，核心不是“签不签”，而是“签之前你信不信这份报告”。信得过，签个字是顺手的事；信不过，那这个字就是你的责任状。别嫌麻烦，也别觉得签字是走过场——真出了事，报告上的签名比聊天记录管用一百倍。