隔离环境 / 模拟复测
不发请求 · 不执行输入 · 不记录敏感值
XSS 修复与回归控制台
“弹窗没出现”不是安全不变量。真正的闭环要同时证明：外部数据没有越过解释边界、正常内容还能使用、最终链路留有脱敏证据、测试残留已清理。
正向 + 负向
五组回归用例
不是一个总分，而是四条不变量
修复闭环仪表
任何一栏空缺，都不能用其他栏的高分来“抵消”。
EVIDENCE PREVIEW
脱敏日志应描述路径，不抄录敏感值
CLEANUP CHECK
存储路径的删除确认也是证据
别记录这些：真实用户内容、会话令牌、完整个人信息，以及与最小证明无关的页面数据。