上周帮一家做跨境电商的网站朋友看他们的整改报告，第一版写得跟检讨书似的漏洞，通篇“我们深刻认识到”、整改“今后将加强管理”，报告漏洞列表倒是网站齐整，可审核方压根不买账。漏洞问题出在哪儿？整改报告里全是态度，没有证据链。报告

真正的网站整改报告，核心就三件事：漏洞是漏洞什么、你改了什么、整改改完怎么验证。报告别扯别的网站。拿SQL注入举例，漏洞你得写清楚是整改哪个接口，参数怎么传的，用了什么工具复现的——哪怕就一句“用sqlmap对 /api/search 的keyword参数做了布尔盲注验证”，也比空泛的“修复了注入风险”强十倍。审核员看报告，最烦的就是“已修复”三个字后面啥也没有。

写漏洞描述有个小技巧：把危害量化。比如“该反射型XSS可窃取管理员Cookie，结合后台未做IP绑定，攻击者可直接登录控制台”——这比“存在跨站脚本漏洞”有说服力得多。漏洞等级也别拍脑袋定，按CVSS评分来，3.9和4.1之间差着优先级，写错了显得不专业。

整改措施部分最容易写成流水账。我的习惯是分两层写：临时措施和根治方案。临时措施比如“先加WAF规则拦截恶意payload”，根治方案是“参数化查询重构”。别嫌麻烦，这两层缺一不可。审核方想看的是你有没有应急能力，以及能不能杜绝复发。

验证环节最见功夫。你光说“已修复”，怎么证明？把复测的截图贴上去，把Burp Suite的请求响应包贴上去，甚至把自动化扫描的日志片段截一段。有次我写报告，直接附了修复前后两次抓包的对比图，审核方当天就通过了，连复审都没提。

还有个常被忽略的地方：遗漏资产的排查。你修了主站，那子域名呢？测试环境呢？曾经有个客户，生产环境修得干干净净，结果漏了个放在阿里云上的旧版演示站，还是弱口令，被扫描器打穿了。整改报告里必须加一段“同类问题排查范围”，写清楚域名列表、IP段、云资产标签，哪怕只写“已对全量资产清单进行核对”也行，但前提是你真核对过。

最后说格式。别用那种花里胡哨的表格模板，审核方每天看几十份，一眼扫过去抓不到重点就烦了。我的做法是每条漏洞一个二级标题，下面跟着“风险等级→问题描述→修复方案→验证结果”四行。干净利落。日期、责任人、漏洞编号这些字段别漏，这是审计追溯的凭证。

说到底，整改报告是给人看的，不是给扫描器看的。写的时候脑子里过一遍：如果我是审核方，拿到这份报告，能不能直接判断这家单位有没有认真改？能，就过关；不能，重写吧。