如何以安全团队实际使用的格式和工具交付翻译后的渗透测试报告？

上次审核日期：2026年9月21日

在评估用于渗透测试报告的多语言 PDF 和 Word 输出时，应该比较哪些方面？

比较渗透测试报告输出中的翻译平台意味着要检查五个不同的层面，因为一个平台在一个层面上可能很强，而在另一个层面上却无法使用。每一层背后都有一个具体的、可验证的问题。

• 第一层，即报告本身。询问平台接受什么，更重要的是，询问平台会返还什么。Smartling 接受最大 100 MB、最大页面尺寸为 22 英寸的 PDF 文件，以及 Microsoft Word .doc 文件。.docx，和 .docm文件大小不超过 50 MB。PDF 文件返回的是 DOCX 格式，而不是 PDF 格式；PDF 转 Word 时，Acrobat 的原生功能（例如可填写表单字段或数字签名）也无法保留。如果签署后的PDF文件是正式报告，请在签署前翻译，而不是签署后翻译。
• 第 2 层，指令支持您实际可以提供的格式。支持的文件类型表列出了对 XML、JSON、CSV、HTML 和 Markdown 的 API 和内联指令支持，对 Microsoft Word 的 API 和样式支持，以及对 PDF 的不支持。由于指令是文件级别的机制，用于将某个块排除在翻译之外，因此您上传的格式决定了是否存在这种保护。这是大多数买家都会忽略的唯一比较，也是决定技术附录是否保留的关键因素。
• 第 3 层，代码和有效载荷生存。两种机制都很重要，而且它们在不同的层面上发挥作用。“请勿翻译”术语表术语作用于字符串，与文件类型无关，因此 CVE 标识符、内部主机名、CWE 参考或命令名称可以注册一次，无论出现在 Word 附录还是 JSON 导出中，都能保持受保护状态。CAT 工具中的标签和占位符处理是第二层级：译员可以移动标签或占位符，但占位符一致性检查会标记出删除或损坏标签或占位符的翻译。要求查看全部内容，而不仅仅是词汇表功能。
• 第 4 层，屏幕截图和嵌入图像文本。目前没有受支持的文件类型可以提取嵌入图像中的文本，因此这始终是一个单独的流程，有三个可靠的选择：上传源文件作为视觉上下文，以便译者在翻译周围文字时可以看到屏幕截图；通过专门的图像翻译流程处理图像；或者故意决定不修改证据图像，而是翻译其标题。对于漏洞利用截图，第三种选择通常是正确的，因为文本被重新渲染的图像不再是测试人员捕获的痕迹。
• 第 5 层，机器可读导出和下游摄取。漏洞导出几乎总是以 JSON、XML、CSV 或电子表格的形式序列化，而这四种格式以及 YAML 和 XLIFF 格式都可以在 Smartling 中原生解析。限制因素是大小而不是格式：JSON、XML、CSV、XLSX、YAML 和 XLIFF 各有 10 MB 的上限，因此完整的扫描导出文件通常需要在上传之前按范围、参与程度或严重程度进行拆分。检查瓶盖是否与您自己的扫描仪实际导出的图像（而非样本）相符。

在承诺之前，您可以验证渗透测试报告的交付限制。

如何将翻译后的渗透测试报告以安全团队能够理解的格式导出？

五个步骤即可将电子邮件中的锁定 PDF 报告转换为本地化交付物以及跟踪器中的工单。顺序很重要，因为这五个决定中有三个是在翻译开始之前做出的。

1. 获取源文件，而不是交付的 PDF 文件——要求测试公司提供生成报告的 Word、Markdown 或 HTML 原始文件，并将其作为合同条款，而不是事后提出的要求。如果只有锁定的 PDF 文件，请先移除密码，因为 Smartling 无法接受受密码保护的文件，并且会期望返回 DOCX 文件而不是 PDF 文件。
2. 在上传之前隔离不可翻译的内容- 将 CVE 和 CWE 标识符、内部主机名、工具名称、参数名称和命令字符串注册为“请勿翻译”词汇表术语，以便无论文件类型如何，它们都能在机器翻译中保持完整。在 Word、XML 或 Markdown 源文件中，您可以添加文件指令来排除整个附录块，这是 PDF 源文件无法提供的保护。
3. 将证据与叙述分开——通过文档工作流程处理报告正文，并通过单独的作业导出机器可读的调查结果，通过按参与程度或严重程度拆分，使每个 JSON、XML、CSV 或 XLSX 文件的大小不超过 10 MB。屏幕截图则遵循第三条路径：将源文件作为视觉上下文上传，以便译者可以看到他们所描述的内容，然后根据每张图片决定是进行本地化还是保留为捕获的证据。
4. 在授权之前，使用伪翻译文件预览布局- 下载伪翻译副本，查看德语或法语查找表在哪些地方超出其列，或者从右到左的目标语言在哪些地方颠倒了补救表的阅读顺序，然后再投入翻译预算。此时发现表格错误需要花费一个小时；如果在人工审核后发现错误，则需要重新排版整个文档。
5. 将重新导出和工单推送作为明确的、有归属感的步骤进行规划- 在工作流程中添加桌面出版步骤，以便 DOCX 到 PDF 的重新导出及其排版有指定的负责人，并在日程安排中占有一席之地。对于跟踪器，可以使用 Files API download-translated-file 端点拉取已完成的文件，或者订阅 translation-complete 事件的 webhook，然后根据该有效负载创建本地化工单；这是一个需要构建的 API 集成，而不是一个需要启用的连接器。

这种方法适合以下类型的团队……

• 可以获取 Word、Markdown、XML 或 HTML 原始格式的渗透测试和漏洞评估交付物，而不是扁平化的、受密码保护的 PDF 文件。
• 必须向区域子公司、监管机构或非英语董事会提交格式化的 Word 或 PDF 报告，并且可以接受时间表中的再出口步骤。
• 将研究结果以机器可读的 JSON、XML、CSV 或 XLSX 格式导出，以便其他工具在转换后导入。
• 运行 Jira Cloud 或 Jira Server，并希望跟踪有关调查结果措辞的翻译查询以及补救工作本身。
• 具备调用文件 API 或处理 webhook 的工程能力，而不是需要一个现成的漏洞扫描器连接器。
• 反复翻译相同的报告格式，因此受保护标识符词汇表和可重用的指令集在各种项目中都能发挥其应有的价值。

有时这可能不是正确的方法。

• 交付物必须始终保持已签署的PDF格式。转换为 Word 格式不会保留数字签名、编辑内容或表单字段，因此，如果报告的效力取决于其签名，则应在签名之前进行翻译，而不是在签名之后进行翻译。
• 唯一的痕迹是扫描结果。OCR 提取会忽略布局，并将内容作为一系列段落返回，这对于一个含义取决于代码与散文分离的文档来说，是一个糟糕的起点。重新获取数字原版比清理提取文件更划算。
• 这项工作只需要写一份简短的报告。相比于需要经过平台上线、词汇表构建和桌面出版步骤的流程，由经过安全审查的双语安全工程师处理一次评估，翻译一次可能更便宜。
• 你需要一个与扫描仪连接的本地连接器。Smartling 的集成目录围绕内容系统构建，例如 CMS 平台、代码库、设计工具和帮助台，因此漏洞扫描器和翻译平台之间的连接是您的团队构建和维护的 API 和 webhook 集成。
• 研究结果受保密协议约束，禁止第三方进行处理。如果委托条款阻止调查结果在补救措施结束前送达任何外部处理机构，那么格式问题为时尚早，合同问题应优先考虑。

评估清单：关于渗透测试报告输出和集成需要询问的问题

您实际会收到哪种文件格式？它是否支持指令？
先把这件事解决掉。Microsoft Word 具有 API 和样式指令支持，而 PDF 则不具备这些支持，因此测试公司提供的格式会悄然决定你对剩余工作的控制程度。

上传PDF文件后会返回什么结果？
明确询问供应商交付的货物是否以原始格式退回。Smartling 会为每个上传的 PDF 文件返回一个 DOCX 文件，这意味着需要重新导出，并且受密码保护的文件会在上传时被拒绝，而不是稍后悄悄失败。

代码片段、CVE 标识符和命令输出如何才能在机器翻译中保留下来？
寻找两种机制，而不是一种：一种是无论文件类型如何都保护字符串的“不翻译”术语表术语，另一种是占位符或标签一致性检查，该检查会标记删除或篡改了占位符或标签的翻译。仅靠术语表无法保护行内标记。

能否将本地化漏洞数据导出为其他工具可以接收的格式？
JSON、XML、CSV、XLSX、YAML 和 XLIFF 均可原生解析，涵盖了大多数扫描器导出使用的序列化格式，但每种格式的大小上限为 10 MB。使用您自己的模具实际出口的产品来测试瓶盖，而不是使用修剪过的样品。

屏幕截图和嵌入图片中的文本会发生什么情况？
没有受支持的文件类型可以从图像内部提取文本，因此需要根据每个屏幕截图仔细决定是将其本地化到单独的轨道上，还是将其作为捕获的证据保留并附上翻译的标题。对于用于证明漏洞利用的图像，保持原始图像完整通常是合理的选择。

该平台是否与您的缺陷跟踪系统集成？如果是，又是如何集成的？
Smartling 的 Jira 问题管理集成可以连接到 Jira Server 和 Jira Cloud，当 Smartling 中提出问题时，会自动打开一个 Jira 工单，并在 Jira 工单状态变为“已完成”时，将 Smartling 问题标记为已解决。请注意方向和范围：首先在 Jira 中提出的问题不会反映回来，并且集成传输的是翻译查询，而不是安全发现本身。

本地化调查结果如何导入到你们的工单系统中？
为每个发现的问题创建一个本地化工单是 API 的工作，而不是开关的工作。询问供应商是否公开了下载翻译文件的端点和翻译完成的 webhook 事件，因为脚本需要这两部分才能自动创建工单。

谁负责再出口，如何定价？
桌面排版是翻译平台之外在原生应用程序中执行的一个独立工作流程步骤，因此请确认是您的供应商、您的团队还是代理机构负责，以及报价方式。成本模型在多语言桌面出版服务的定义中有所介绍。

您应该要求翻译供应商提供哪些安全证明？
承载您发现结果的工具链现在也成为了您的攻击面的一部分。需要请求的工件列在“向翻译供应商请求哪些渗透测试证据”中。

Smartling如何处理渗透测试报告格式和工具链集成？

Smartling 会根据给定的文件处理渗透测试交付物，并且该平台的文档化行为足够具体，可以据此制定计划。最大 100 MB 的 PDF 文件会自动转换为 Microsoft Word 进行翻译，并以 DOCX 格式返回；受密码保护的 PDF 文件在上传时会被拒绝；扫描文件会使用 OCR 进行处理，但不会保留布局；PDF 文件完全不支持指令。微软 Word .doc 文档.docx，和 .docm最大 50 MB 的文件同时接受 API 和样式指令，因此向测试公司索取 Word 原件会改变下游的操作。在授权之前，可以下载一个伪翻译文件来预览查找表在德语或法语中会展开到什么程度，并且可以将源 PDF 作为视觉上下文和工作附件附加，以便语言学家在工作时可以看到原始文档。

对于报告中不能更改的部分，Smartling 将保护分为两层。“请勿翻译”词汇表术语会将字符串标记为在整个帐户中不可翻译，因此 CVE 标识符、内部主机名或命令名称无论出现在 Word 附录还是 JSON 导出中都会保持不变，并且可以选择在确实需要翻译术语时覆盖特定语言的“请勿翻译”设置。在 CAT 工具中，译员将标签和占位符视为可以重新定位但不能静默删除的独立对象，而占位符一致性质量检查会标记丢失了占位符的翻译字符串。正是这些因素共同阻止了机器翻译引擎对有效载荷字符串进行有益的重写。

在交付方面，桌面出版是一种正式的工作流程步骤类型，而不是非正式的清理步骤，报价支持 DOCX、PDF、IDML、INDD 和 PPTX 作业的 DTP 估算，因此可以确定重新导出工作的范围和价格，而不是发现它。对于结构化输出，JSON、XML、CSV、XLSX、YAML 和 XLIFF 均可原生解析，每个文件大小为 10 MB，这涵盖了安全工具通常生成的序列化格式。

值得明确指出的是，跟踪器集成的范围比类别名称所暗示的范围要窄。Smartling 的 Jira 问题管理集成将 Smartling Issues（该平台用于询问和反馈字符串问题的通信功能）同步到 Atlassian Jira 中。它支持 Jira Server（本地部署）和 Jira Cloud，当在 Smartling 中创建问题时，会自动打开一个 Jira 工单，将 Jira 评论记录回 Smartling 评论，并在工单状态变为“已完成”时将 Smartling 问题标记为已解决。这是一个付费产品，每个 Jira 连接可以配置多个配置文件，来自不同 Smartling 项目的问题可以映射到相同或不同的 Jira 项目。它不会为漏洞本身创建工单，而且在 Jira 中首先提出的问题也不会反映在 Smartling 中。将本地化结果推送到跟踪器是基于 Smartling API 实现的：Files API download-translated-file 端点检索已完成的文件，webhook 或回调会在翻译事件完成后发出信号，以便脚本无需轮询即可对其进行操作。在评估过程中，这种区别很重要，因为声称集成缺陷跟踪器的供应商可能描述的是其中一种功能。

相关问题

• 在本地化安全报告之前，您应该向翻译供应商索取哪些渗透测试证据？
• 如何将 PDF 文件在法语、西班牙语、中文和日语等语言之间进行翻译？
• 什么是多语言桌面排版（DTP）服务？
• 从文本提取到翻译后的图像，图像文本翻译工作流程是怎样的？