我花了四十分钟，线扫用三个不同的描网在线扫描器扫同一个测试站点，结果让我有点意外——它们给出的站漏高危漏洞数量从 3 个到 27 个不等，差异大得离谱。线扫

这不是描网说哪个工具更“准”。三个扫描器用的站漏检测规则不同，爬虫深度不同，线扫甚至对同一个 SQL 注入点的描网判断标准都不一样。有个工具把低危的站漏 XSS 反射标记成了“严重”，另一个却把真正的线扫未授权访问漏掉了。在线扫描这东西，描网真不是站漏点一下“开始扫描”然后等报告那么简单。

先说它们能干什么。线扫你扔一个 URL 进去，描网工具会先爬取页面，站漏收集链接、表单、Cookie，然后模拟各种攻击载荷——SQL 注入、跨站脚本、命令注入、文件包含，诸如此类。像 Mozilla 的 Observatory 偏重 HTTP 头和 TLS 配置，而 OWASP ZAP 的在线版（比如 Glue 或 HCL 的免费版）会做更深入的漏洞验证。免费的和付费的差别主要在并发请求数和报告详细度，核心检测逻辑其实大同小异。

但有个坑你得知道：在线扫描器只能看到“外面”的东西。它扫不到需要登录才能访问的页面，除非你手动提供 Session。大多数免费工具根本不支持登录态，这意味着你后台管理系统的漏洞，它完全看不见。我试过扫描一个带会员区的站点，扫描报告干净得像新盘子，可登录后用手工测试，两分钟就找到一个越权接口。所以别把在线扫描的结果当成“安全证明”，它更像体检里的血常规——能筛出明显问题，但查不出所有病。

另一个现实问题是误报率。我拿一个纯静态的 HTML 页面去扫（连后端都没有），居然报了个“SQL 注入风险”。点开详情一看，它是在 URL 参数里检测到了“id=1”这种模式，就默认存在注入点。这种“宁可错杀一千”的规则，让扫描报告里充斥着大量需要人工复核的假阳性。你要是直接拿报告去给领导看，保准会被质疑团队专业性。

那在线扫描到底有没有用？有用，但要用对地方。适合的场景是：你刚上线一个营销页或者企业官网，没有复杂交互，想快速确认有没有明显的配置错误（比如暴露了 .git 目录、缺少安全响应头）。或者作为 CI/CD 流程里的第一道闸门，每天定时跑一遍，发现新问题就报警。但涉及交易、支付、用户数据处理的系统，老老实实请人做渗透测试，别省这个钱。

我自己的习惯是拿两个不同厂商的扫描器交叉验证，比如用 Detectify 加上 Quttera 的 Web 扫描，把两边都报出来的问题优先处理，单个工具独有的标记为“待人工确认”。这样能过滤掉不少误报，也能覆盖更多检测维度。记住，扫描器是给你指路的，不是替你走路的。

最后说个细节：扫描时间选在凌晨流量低峰期，因为有些扫描器会发起大量并发请求，对脆弱的小站点来说，这本身就是一次小型 DoS 攻击。我见过有人大白天扫生产环境，结果把数据库连接池打满，业务中断了十分钟。工具无罪，用法有讲究。

在线扫描漏洞，本质是个自动化辅助决策的过程。别神话它，也别无视它。把它的输出当作线索，而不是结论——这才是在真实环境里活下来的做法。