去年秋天，网络一家做跨境电商的安全客户半夜被拖库，三十多万条订单信息挂在暗网上叫卖。漏扫事后复盘，服务漏洞出在一个两年前就该废弃的合同测试接口上——没鉴权，直接暴露在公网。网络他们的安全技术负责人跟我说，一直以为“没出事就是漏扫没问题”。这话听着耳熟，服务很多团队都这么想。合同漏扫服务干的网络活，就是安全在你还没被盯上之前，先替攻击者把路走一遍。漏扫

合同里第一条要写清楚的服务是扫描范围。别只扔个主域名过去。合同IP段、子域名、API端点、移动端接口、甚至那些藏在CDN后面的真实源站，都得列进去。我见过一家公司只扫了官网，结果攻击者从他们一个没备案的测试环境摸进去，横向渗透到生产库。范围写窄了，等于给合同留了个后门——出了事，服务商说“不在范围内”，你一点脾气没有。

扫描频率这件事，别信“一年一次够用”的说法。业务迭代快的时候，每周都有新代码上线，每个新接口都可能带进来一个SQL注入或者越权。合同里最好写清楚：基础扫描每月一次，重大版本上线前加一次增量扫描。价格差不了太多，但真出事的时候，多扫那几次可能就是救命的。

漏洞报告不能只给个“高危、中危、低危”的列表。得要求服务商提供可复现的POC、影响范围判断、以及修复建议的具体代码位置。有些服务商拿扫描器导出的PDF糊弄人，满篇都是“建议升级组件版本”，连当前版本号和目标版本号都不写。这种报告拿给开发看，开发直接摔键盘。合同里加一条：每个高危漏洞必须附带手工验证的截图或请求响应报文。

修复验证环节最容易被忽略。扫出来一堆漏洞，修没修？修对没修对？很多合同到“提交报告”就结束了。这不行。得约定：高危漏洞修复后，服务商要在五个工作日内免费复测，确认漏洞闭环。不然你拿着报告改了半天，改错了地方，下次扫描还在，钱白花。

数据保密条款得单独拎出来说。漏扫服务商手里会拿到你大量的网络拓扑、IP资产、甚至漏洞细节。这些东西落到坏人手里，比你自己不扫还危险。合同里明确：扫描数据不得用于任何其他客户的分析、不得上传到公有云扫描平台、项目结束后三十天内彻底删除。别嫌麻烦，这是底线。

最后说钱。漏扫服务价格从几千到几十万都有，差别不在扫描器，在人。便宜的服务商拿个开源工具跑一遍，报告自动生成，你问他漏洞原理他答不上来。贵的那种，是安全工程师手工验证、分析业务逻辑漏洞、给出修复代码示例。合同里可以写：高危漏洞必须由持证人员（比如CISP、OSCP）手工确认。多花的那点钱，比出事之后请应急响应团队便宜多了。

签合同前，让对方给你看一眼他们最近三个月的扫描报告样本——脱敏的就行。看看报告里是只有漏洞名称，还是有完整的利用路径和修复方案。这一眼，比看十页PPT都管用。