证据先于结论
扫描线索人工复核工作台
扫描器说“可疑”，不是让你立刻写进报告。选一条线索，只做最小、无害的验证，再决定它究竟属于哪种状态。
范围一旦不明就暂停不要为了完成练习而扩大读取或修改。
线索 A · 只读页面 · 测试租户
响应长度波动
扫描器连续访问同一商品列表，响应大小分别为 42 KB、45 KB、41 KB，于是把差异标成可能的信息暴露。
原始证据
先问：工具到底看见了什么？
现象：响应长度不稳定
工具推测：不同请求可能返回了额外内容
尚缺：固定基线、字段级差异、服务端对应日志