编写漏洞报告

准备证据

• 原始发现、公告、披露或评估材料。
• 目标源码与受影响修订或版本。
• 已有复现、日志、截图和诊断。
• 修复差异及验证材料。

缺失源码时先决定是否继续；继续则逐项标记未验证说法。

运行报告任务

对照提供的源码与修订版本，为每个不同漏洞编写独立报告。按根因和受影响路径归组，保留原始证据。复现只使用已授权本地测试环境；将未验证假设与事实分开。

审核每份报告

• 从攻击者入口跟踪到失效安全不变量与影响。
• 区分静态证据、运行验证和假设。
• 引用路径、函数与受影响版本。
• 适合复现时提供源码、运行方法、代表性输出和限制。
• 采用可移植路径，避免内部绝对路径与秘密。

分享与归档

一份报告对应一个不同漏洞，附件与复现文件一并保存。不要把报告中的数量、严重程度或自动摘要当作正式披露结论。发布前由负责人确认接收方与披露范围。