一、引子

先说现象：一年做了 8 次内部红队测试，次数上不算少。把测试记录按攻击面对齐之后，20 项里覆盖了 9 项，占 45%。提示注入类的 5 项全部测过，供应链类的 3 项一次没测。

测试次数和覆盖范围是两件事。8 次测试集中在同一类攻击面上，次数看起来很多，覆盖面却停在原处——每次都测同样的入口，结论也大致相