《基于三态判定的若依漏洞扫描器》需求调查问卷

（可直接整段粘贴到问卷星"文本导入"框，题型已用【单选】【多选】【量表】【填空】标注）

第一部分　基本信息

1、您目前从事或学习的领域是【单选】

安全服务与渗透测试（等保测评、渗透测试、红队）Java后端开发（含基于若依框架的二次开发）企业IT运维网络空间安全专业学生/教师其他

2、您在该领域的工作或学习年限是【单选】

1年以内1~3年3～5年5年以上

3、您接触若依（RuoYi）框架项目的情况是【单选】

参与过基于若依的开发和运维对若依项目做过安全测试只听说过，未实际接触从未听说

4、您对 Web 系统进行安全检测的频率是【单选】

每周一次及以上每月一次每季度一次仅在项目上线前进行几乎不做安全检测

第二部分　现有漏洞扫描器的使用与痛点

5、您使用过下列哪些漏洞扫描器【多选】

AWVSXrayNucleiNessus/OpenVASBurpSuite插件（如主动扫描模块）其他未使用过任何漏洞扫描器

6、您使用漏洞扫描器最主要的场景是【单选】

项目上线前自测等保测评/合规检查应急响应与溯源日常安全巡检学习与安全研究

7、您认为现有扫描器给出的结果中，误报（报告了漏洞但实际不可利用）的比例大致为【单选】

10%以内10%～30%30%～50%50%以上无法判断

8、面对扫描报告中的漏洞条目，您通常如何处理【单选】

逐条手工复测后再决定是否整改抽取部分条目复测，其余按报告处理不逐条验证，直接按报告统一整改无法验证，只能先记录存疑

9、您认为现有漏洞扫描器最突出的问题是【多选，最多选三项】

误报率高，需要人工逐条复测缺少证据链，无法判断判定依据漏报多，报告“安全”时不敢确信对国产框架（如若依）的检测能力弱报告可读性差，结论不直观扫描速度慢，影响使用体验其他

10、您是否遇到过“扫描器判定为安全、但实际存在漏洞”（即漏报）的情况【单选】

经常遇到偶尔遇到极少遇到从未遇到

第三部分　若依框架安全检测需求

11、您认为若依框架中，最需要自动化检测的风险点是【多选】

Shiro反序列化未授权访问/接口越权SQL注入弱口令定时任务注入与任务管理越权代码生成器越权/模板注入文件上传与解析漏洞其他

12、您是否了解“三态判定”（把检测结果划分为已确认/安全/待确认）的结果模型【单选】

了解，并使用过类似机制的扫描工具听说过，但未实际使用首次听说

13、若扫描器把结果分为“已确认（Confirmed）／安全（Safe）／待确认（Unknown）”三态，您认为对减少人工复测工作量是否有帮助【量表 1-5】

1完全没用2作用不大3一般4有帮助5非常有用

14、对于“待确认（Unknown）”的检测结果，您希望工具提供哪些内容【多选】

原始请求/响应证据（报文、状态码、返回片段）判定理由说明（为什么判定为待确认）可复现的验证脚本支持人工标记与备注一键复述验证

15、单次扫描单个站点（约 50 个检测项）的耗时为多少时您可以接受【单选】

1分钟以内1～5分钟5～15分钟15分钟以上，只要结果准确

16、您期望扫描结果以哪些格式输出【多选】

HTML可视化报告JSON（便于集成到CI/CD）Excel/CSV汇总表MarkdownSARIF等标准格式

第四部分　工具形态与使用方式

17、您更希望以哪种方式使用该扫描器【单选】

仅命令行（CLI），便于批量执行与脚本集成仅桌面图形界面，操作直观仅Web平台，便于多人协作两者都要（CLI+图形界面）

18、若提供图形界面，您最看重以下哪些功能【多选】

扫描进度与日志实时可见结果按三态分类着色，待确认项突出显示一键导出报告漏洞详情与证据链展示历史扫描记录对比界面美观度

19、您是否愿意将该扫描器集成到 CI/CD 流水线中【单选】

愿意，需要提供JSON输出与退出码愿意，但需要提供Docker镜像暂不考虑不清楚

20、如果该工具开源，您愿意参与哪些工作【多选】

提交新的POC插件反馈误报样本撰写使用文档仅使用不愿意参与

第五部分　使用意愿与开放建议

21、相比通用漏洞扫描器，专用于若依框架的扫描器您的使用意愿如何【量表 1-5】

1完全不用2不太愿意3视情况而定4愿意尝试5一定会用

22、您认为“三态判定”机制最可能带来的价值是【单选】

降低误报带来的复测成本明确未知风险的边界，便于排期处理提升扫描报告的可信度便于在合规检查中举证

23、您是否需要“误报反馈—规则迭代”的闭环能力【单选】

非常需要需要无所谓不需要

24、您对本课题（若依专用漏洞扫描器）还有其他功能建议吗【填空】

更多问卷复制此问卷