去年秋天，网络我帮一家做物流SaaS的安全客户处理过一次应急响应。攻击者从他们一个边缘业务系统的演练弱口令进去，三天内横向摸到了核心运单库。渗透授权书事后复盘，评估客户CTO问了我一句：“你们来测之前，网络是安全不是也得先签个什么文件？不然出了事算谁的？”他说的就是渗透评估授权书。这东西不是演练走形式，它是渗透授权书整个演练合法性的地基。没有它，评估你技术再强，网络也可能从“白帽”变成“黑产嫌疑人”。安全

授权书的演练核心就一件事：把“允许你攻击我”这件事写清楚。但写清楚没那么简单。渗透授权书我见过太多模板，评估甲方乙方名字一填，日期一写，公章一盖，看着挺正规。真出事的时候，法官翻到第三页就发现漏洞——授权范围写的是“公司网络资产”，可渗透小组为了找突破口，顺手把托管在云上的测试环境也扫了。这算不算越界？算。因为“公司网络资产”这四个字太模糊，云上那台机器可能压根不在合同标的里。

具体怎么写才管用？我拿自己经手的一份授权书举例。第一段不是法律术语，而是直接列IP段和域名清单。192.168.10.0/24、api.xxx.com、admin.xxx.com，一行一个，末尾加一句“除上述目标外，任何扫描、探测、利用行为均属未授权”。这句话看着冷冰冰，但能救命。前年有个真实判例，某安全团队在授权范围外多扫了一个C段，结果触发了对方IDC的入侵检测，直接报警。授权书里没写“禁止越界”，团队负责人被叫去喝了三天茶。

时间窗口也得卡死。不是“合同有效期内”，而是精确到小时。比如“2024年3月15日22:00至3月17日06:00”。为什么强调这个？因为业务系统白天跑着几万笔订单，你一个SQL注入打下去，数据库锁死，客户损失谁赔？授权书里必须写明“仅限夜间维护窗口执行高风险操作”。我习惯再加一条：“若目标系统出现不可用，渗透方须立即停止并电话通知甲方接口人。”电话，不是邮件。邮件可能两小时才看，电话三十秒接通。

还有一条容易被忽略：数据处置条款。渗透过程中拿到的数据库导出、配置文件、内存dump，演练结束后怎么处理？我见过一份授权书写着“乙方应妥善保管”，什么叫妥善？锁在保险柜里也算妥善。我要求写死：“所有获取的数据须在24小时内加密存储于甲方提供的离线介质，演练报告出具后72小时内彻底删除，并提供删除截图证明。”截图证明这四个字，是给甲方审计看的，也是给渗透方自己留后路。

最后说个主观判断。很多甲方觉得授权书是法务的事，技术团队不参与。大错。法务不懂“横向移动”和“权限维持”的区别，写出来的范围要么太窄——漏掉内网横向的授权，要么太宽——把生产环境全放开。我的做法是：技术负责人先草拟一份目标和技术边界清单，法务再套法律模板。清单里我会特意写一句“允许使用社会工程学手段，但仅限于对甲方指定的5名员工进行钓鱼邮件测试，邮件内容不得包含恶意附件”。你看，连钓鱼邮件能不能带附件都得管。不带附件，测的是意识；带附件，测的是终端防护。两码事。

授权书签完，我一般会拉个三方会议：甲方技术、甲方商务、我方渗透组长。会上不聊技术细节，只确认三件事——目标对不对、时间对不对、紧急联系人电话对不对。确认完，各自在授权书扫描件上再签一次电子签名。这多出来的一步，让去年那家物流客户在事后审计时省了整整两周的扯皮时间。渗透评估授权书不是免责声明，它是作战地图。地图画错了，子弹飞出去就回不来了。