补天测评：按五步避开常见误区
补天测评不能只看奖励截图和排行榜，更要评估合规门槛、项目规则、审核机制、沟通效率与收益确定性。本文以避坑为主线，按使用前审查、测试中控制、提交时检查、审核期沟通和事后复盘五个步骤推进，并用自建评分框架给出客观结论。
第一步：先测合规性，避开授权误区
不少补天测评把注册成功当作测试许可，这是最危险的误区。平台提供报告入口，并不意味着互联网上所有企业资产都能自由测试。开始前要同时核对项目范围、厂商规则、测试账号来源和禁止行为；其中任何一项不明确，都应暂停操作。
尤其不要测试非项目资产、绕过付费限制获取真实服务、批量读取数据或影响正常用户。现行漏洞管理规定禁止利用漏洞危害网络安全，也限制违规收集和发布漏洞信息。合规性不是加分项，而是整套测评的前置条件。([cac.gov.cn](https://www.cac.gov.cn/2021-07/13/c_1627761607640342.htm?Offer=ab_ss_reeng_plt_ctrl&utm_source=openai))
第二步：再测规则清晰度，避开范围坑
第二个常见坑是只看企业名称，不看具体资产。集团公司、子品牌、移动应用和测试环境可能分别属于不同计划，即使域名具有相同后缀，也不能默认全部在范围内。测试前应保存规则页面和查看日期，防止后续因规则更新产生理解差异。
从平台机制看，专属SRC通常由厂商定义测试计划和奖励规则，公益SRC则由平台协助审核并联系企业。两类项目的响应节奏、奖励来源和企业参与程度不同，因此补天测评不能用单个项目体验代表整个平台。([butian.net](https://www.butian.net/Help/faq))
第三步：检查报告质量，避开低效提交
第三个坑是把工具告警直接当成漏洞报告。扫描器只能提示可能性，审核需要的是资产归属、触发条件、可验证影响和完整证据。若标题模糊、截图无上下文、步骤无法复现，即使问题真实存在，也会增加审核成本并降低通过概率。
提交前可做四项检查：是否排除重复，是否使用自有测试数据，是否说明真实业务风险，是否提出可执行的修复建议。官方列出的常见不通过原因包括无法复现、实际影响较小、未经验证、重复或已公开，因此“多提交”不如“先验证清楚”。([butian.net](https://www.butian.net/newneed))
第四步：观察审核沟通，避开时效误判
第四个坑是把参考处理时间理解为承诺。平台初审、厂商复核、奖励确认和财务处理是不同阶段，其中任何环节都可能因材料补充、资产归属或企业内部排期而延长。频繁催促不能代替有效沟通，反而容易遗漏真正需要补充的问题。
更稳妥的做法是记录每次状态变化和回复内容，超过项目说明的合理时间后再通过官方渠道询问。不要私下联系企业普通员工，不要在公开平台暗示漏洞内容，更不能以公开细节作为催促手段。官方帮助页提供状态查询和问题反馈渠道，应优先使用。([butian.net](https://www.butian.net/newneed))
第五步：完成评分复盘，避开奖励滤镜
按每项20分的自用框架，我对补天的流程规范性给17分、项目丰富度给16分、状态可追踪性给16分、新人友好度给13分、奖励确定性给11分，综合73分。该分数是体验型评价，不是官方数据；扣分主要来自项目差异较大、审核等待不可控和奖励不能预估。
这份补天测评的最终结论是：它适合重视负责任披露、愿意研究规则并持续提升报告质量的人，不适合追求即时回报、依赖批量扫描或缺乏授权意识的人。真正需要避开的坑，不是某个按钮难找，而是把平台渠道误解成无限测试权，把偶然奖励误解成稳定收益。
推荐阅读
常见问题
- 补天测评中最需要关注什么？
- 优先关注项目范围、授权条件、禁止行为、审核规则和信息保护，不要只根据奖金、排行榜或个别成功案例判断平台价值。
- 补天审核不通过就是漏洞不存在吗？
- 不一定。还可能是无法复现、影响有限、资产不在范围、报告重复或证据不足。应根据具体原因复盘，而不是直接重复提交。
- 补天适合使用自动扫描工具批量提交吗？
- 不适合把未经人工验证的告警直接批量提交。自动化结果需要确认资产范围、误报情况、真实影响和验证边界。