漏洞管理是一条从发现到确认修复的流程。扫描报告只是输入，是否需要紧急处理取决于实际版本、功能、暴露范围和可利用条件；没有扫描告警也不能证明网站没有问题。

建立组件清单

记录系统、框架、插件、库和构建依赖的版本与来源。对第三方插件检查维护状态、更新渠道和许可，弃用组件安排替代方案。把测试站和不使用的功能也纳入资产清理。

按业务风险安排修复

对已被利用、公网暴露或可访问敏感数据的问题优先处理。核对官方公告和项目配置，避免只凭版本号误判。无法立即升级时采用有边界的临时缓解，并指定到期复核时间。

先备份并在适用环境检查登录、权限、表单、上传和接口，确认数据迁移要求。不要在不了解兼容性时直接升级所有依赖；也不要把临时WAF规则当成永久补丁。

使用授权测试验证原问题和相关业务路径，保存证据、修复版本及负责人。扫描应限定授权资产和强度，避免影响业务。月度报告区分已修、误报和待处理，不以检测次数代替结果。

确认组件实际安装与可触达路径，区分扫描提示、已核实漏洞与误报。

升级前验证兼容和回退，修复后重测原问题；WAF临时拦截不能作为组件补丁已完成的证据。

例如组件已升级但进程仍加载旧版本，复测应检查实际运行状态，而非安装记录。