### SSRF 漏洞的常见特征

- 分析过程中，如果存在安全防护/校验函数、对应参数是整型或布尔型（不可利用）、或者不能直接控制的，如从配置文件、环境变量、数据库查询等非实际直接可控（需要先能控制对应文件或环境）的方式读取的，则结论应当为不存在安全漏洞。
- 特别注意，SSRF漏洞判定标准如下：
    - 必须可控url访问到任意地址的场景才认为存在SSRF漏洞，如 http://ip:8080/test 这里的ip可控，http://domain/test 这里的domain可控。
    - 如果只是接口部分参数可控传入到请求函数无法访问任意地址的，如/v1/tenants/%s/devices这种，结论应当为不存在安全漏洞。
    - 如果只是请求函数中的请求body可控，但url路径不可控的，结论应当为不存在安全漏洞。
