triage-validation

用途：在撰写任何安全报告前，对漏洞发现进行分级和验证，避免提交无效或低价值发现。资料称其一错即 STOP，杀掉该单个发现并转向下一个测试类；这并不代表停止整个测试。主要能力：7 问门（按顺序提问，一题不过即停），涵盖攻击者是否可立即利用、影响是否在项目接受列表、根因资产是否在范围、是否需不可现实获取的权限、是否为已知或预期行为、能否证明超越“技术可行”的影响、是否属于已知无效漏洞类别。另有 4 道提交前门：现实检查、影响验证、去重检查、报告质量，须全部通过。资料还给出永不提交清单（如缺失 CSP/HSTS、GraphQL 仅 introspection、单独开放重定向等）和需链式组合才有效的情况（如开放重定向结合 OAuth redirect_uri 导致账户接管）。使用方式：按资料所述逐项填写 Q1 模板并复制可用 HTTP 请求，检查项目范围页、公开报告、GitHub issue、变更日志和文档，再运行门控。资料包含 CVSS 3.1 快速参考与若干验证命令，如使用 grep 检查 7 个问题是否齐备。适用场景：漏洞赏金和授权安全测试中的发现筛选与报告前自检。限制：资料未提供具体安装步骤、平台依赖或收费信息；部分条目（如 UI 值）属于判断范围，需结合项目要求；未提供官方文本文档。