CRM安全评估先确定资产范围、授权、时间窗口和停止条件，再选择工具。测试目标包括身份认证、会话、数据访问、接口和配置，不能用扫描数量代替覆盖质量。 自动化扫描适合检查部分已知漏洞和配置问题；人工测试则结合业务流程核对越权、异常输入及多角色操作。不同工具的范围、凭证要求和副作用需事先确认，不需要把厂商清单当作选型结论。 使用测试账号与受控数据记录结果，对每个问题写清影响范围、证据及可复现条件。自动报告存在误报和漏报，风险排序应结合暴露程度、可利用性和业务影响，不能仅凭“数据库问题”或“页面问题”名称判定等级。 修复任务应指定负责人和复测条件。涉及生产负载或可用性的测试，需要明确容量、限流和中止安排，不能把任意压力攻击纳入常规扫描。 客户交互记录可补充业务背景，安全访问日志需单独核对。完成测试后保留覆盖范围、未测项和遗留风险，使下一轮评估有清晰依据。