# 提交前合规自检（补天 / 厂商 SRC / 众测）

> 对标：MyuriKanao/src-hunter-skill `r/compliance.md` + Claude-BugHunter `evidence-hygiene` + 补天审核习惯。  
> **Phase 5 提交前必读**。任一项不通过 → 不提交 / 撤回重测。

## 1. 绝对禁止

| 项 | 说明 |
|----|------|
| 出 scope | 不在 Phase1 in-scope 列表 → 立即停 + 不写进报告当已测 |
| 拖他人 PII | 只证明「可访问」；已误取的立即脱敏销毁并记录 |
| DoS / 大流量 | 1–3 个 PoC 包证明即可；禁止压测、无脑全站爆破 |
| 改他人数据 | 写操作只用自有测试对象；不改陌生人订单/内容/权限 |
| 生产社工 | 钓鱼、假客服、撞真实员工一律禁止 |
| 未复现猜测 | 无 HTTP 包 / 截图不得写「已确认」 |
| 第三方 SaaS 超范围 | CDN/支付/邮件托管若不在 scope 不测 |
| 内网横向 | SSRF/RCE 触达内网只证「可达」，不继续扫/打 |
| 留后门 | 无 webshell、无持久化、无定时任务 |
| 短信/邮件轰炸 | 只对自己号极少量；补天也禁轰炸 |

## 2. 必做

- [ ] 范围：域名/APP/API 与平台列表一致
- [ ] 测试标记：若厂商要求 Header / 账号备注（如 `X-Bug-Bounty: handle`）已带上
- [ ] 越权：双自有测试号交叉，不拿真实用户库乱试
- [ ] OOB：SSRF/XXE 用自有 interactsh/DNSLog，不用公共他人平台乱扔生产流量
- [ ] 样本：IDOR 1–3 条；SQLi 到版本/库名；RCE 只读 id/whoami
- [ ] 脱敏：手机号/Token/Cookie/姓名已打码
- [ ] 一洞一主因；链式写清因果
- [ ] 评级与**可证明业务危害**一致（国内不唯 CVSS）
- [ ] 原始包 + 步骤可让审核 0 基础复现
- [ ] 工作区 evidence 与报告无未脱敏全量库

## 3. 补天 / 国内平台特有检查

- [ ] 目标在可提交列表且非「已下线/停维无价值」
- [ ] 标题：`[建议等级][条件][类型] 位置 - 一句话危害`（见 report-template）
- [ ] 类型选对平台枚举（未授权/越权/注入/逻辑…）
- [ ] 危害段用业务语言：谁受害、能读/改什么、规模风险（不夸大）
- [ ] 非扫描器原文粘贴；手测包时间戳清晰
- [ ] 重复洞：简单搜过公开 advisory / 自家历史提交

## 4. 撤回触发（发现即撤）

- 事后发现资产其实 out-of-scope
- 复现步骤依赖他人真实 PII
- PoC 已造成不可逆改写
- 评级明显大于可证影响

## 5. 与红队交付冲突时

**一律取更严**：补天提交路径下，红队后利用、凭据喷洒、C2、横向默认关闭。  
详见 `r/017.txt`。

## 6. 10 秒口头门闩（提交前默念）

```text
在范围吗？能复现吗？包在吗？脱敏了吗？破坏了吗？夸大了吗？
```

全过再点提交。

## 7. 误报与定级门闩

提交前再过 alse-positive-sop.md：

- 三层判定（Access / Vulnerability / Exploitability）全过
- 非预授权误报、非空列表/随机密钥假阳性
- 写操作有二次读；资金类有真实状态变化
- 措辞未使用 SOP §8.4 禁用空话
- 等级与 §8.6 调整表一致
