网站漏洞扫描工具：工具换数据源后历史曲线是否还能连接
📱 Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.4 Safari/605.1.15 (Applebot/0.1; +http://www.apple.com/go/applebot)
🔗 /446175f61a2c.html
📄
网站漏洞扫描工具：工具换数据源后历史曲线是否还能连接
能不能连接，取决于历史曲线是按“漏洞实例”还是按“数据源标识”存储的。如果旧曲线记录的是每次扫描的原始计数，换源后新旧点往往仍能画在同一条时间轴上，但趋势含义会断裂；如果曲线是按数据源、资产编号或规则集ID关联的，换源后旧点会变成孤立记录，需要做映射或分段展示。先做一次小样本对照，再决定是保留、改写还是退出旧曲线。
先判断曲线断在哪里：三种常见存储方式
把旧曲线的数据导出成一张最小表，只保留时间、资产标识、漏洞类型、计数、来源字段，然后逐列检查。三种结构对应三种结局：
- 按原始计数存储：每行只是“某天扫出多少个中危”。换源后新数据仍能追加，曲线连续，但同一位置的含义变了，可能把两个口径混成一条趋势。
- 按资产或URL关联：曲线点挂在具体资产上。只要新数据源能输出同一套资产标识，旧点可以保留；标识不一致时，旧点会悬空。
- 按数据源或规则集ID关联：这是最容易断的一种。换源等于换了主键，旧点无法自动归入新序列，通常只能作为历史分段保留。
判断动作：随机抽三到五个历史时间点，用旧数据源重新导出当时的明细，看能否与曲线点对上。对得上，说明曲线可追溯；对不上，说明曲线只是聚合结果，换源后不宜直接续接。
保留、改写、退出各自成立的前提
保留适用于：新旧数据源覆盖的资产范围基本一致，漏洞分类口径可对齐，且旧曲线本身有审计或汇报价值。保留时不要直接拼接，而是在换源时间点加一条竖线标注，并在图注里写明口径变化。这样读者看到的是“同一资产、两种观测方式”，而不是一条被污染的连续线。
改写适用于：旧曲线仍有参考价值，但字段无法直接对齐。做法是保留原始明细，另建一张映射表，把旧分类映射到新分类，再重新聚合出曲线。改写的代价是需要人工核对映射规则，且映射本身会引入误差，因此要在图上说明“此段为映射后结果”。
退出适用于：旧数据源已无法导出明细，或旧口径与新口径差异大到无法解释。退出的正确做法是冻结旧曲线、停止追加新点，而不是删除。删除会丢失历史基线，日后想解释某次风险变化时没有参照。冻结后，新曲线从换源当天重新起算，并在文档里记录起算原因。
换源后先做一次对照，再决定曲线去留
不要先改图表，先做对照。假设同一批资产在旧源和新源下各扫一次，把结果按漏洞类型分组，比较两组计数的差异来源：是覆盖范围不同、规则集不同，还是去重逻辑不同。这一步的结果直接决定下一步：
- 若差异主要来自覆盖范围，说明新源看得更多，旧曲线应标注“覆盖范围已扩大”，不能当作风险上升的证据。
- 若差异主要来自规则集，说明同一漏洞的判定标准变了，旧曲线宜冻结，新曲线重新起算。
- 若差异很小且可解释，说明两套口径接近，可以保留连续曲线，但保留映射说明。
对照样本不必很大，但必须包含历史高点和低点，否则容易在平稳区间得出“差异不大”的错误结论。
一个假设例子：两条曲线怎么处理
假设某系统旧曲线显示中危漏洞长期在20上下波动，换源后第一天跳到80。先别下结论。抽出旧源最后一次扫描的明细，按新源的分类规则重新归类，如果重算后旧值也接近70，说明跳变主要来自口径变化，曲线应分段；如果重算后旧值仍是20，说明新源确实发现了旧源漏掉的类型，此时应保留旧曲线作为历史基线，另起一条新曲线，并在两者之间留出明确断点。这个判断动作的产出是一张对照表，它决定后续是加标注、做映射，还是冻结重算。
需要核对的适用条件
上述判断依赖几个条件：旧数据源仍能导出明细；新旧源对同一资产的标识可对应；漏洞分类有可查的规则说明。如果旧源已经无法访问，或分类规则没有文档，那么保留和改写都缺少依据，只能选择冻结退出。具体工具是否支持导出原始明细、是否保留历史快照、字段命名是否稳定，不同产品差异很大，需要以你实际使用的版本和当前文档为准，不能凭印象假定。换源前把导出能力和字段清单确认一遍，比换源后再补救成本低得多。
