服务器无法直接访问客户端，但网站扫描时可以通过添加/web路径来扫描该目录下的内容，这是常见的扫描配置方式。
服务器主动访问客户端安全吗
服务器与客户端的通信模型明确：客户端发起请求，服务器响应，服务器不会主动建立连接给客户端，除非客户端运行监听服务并暴露端口，在Web环境中，客户端通常没有公网IP，因此服务器无法直接访问，但技术上存在变通，如WebSocket允许服务器推送数据，但前提是客户端先发起握手，流程上，服务器依然不能主动“访问”客户端。
安全领域常讨论的服务器主动访问，更多指向SSRF攻击，攻击者利用服务器端漏洞，强制服务器向内部网络发起请求，但这与访问客户端是两个概念，客户端处于外网，服务器主动访问客户端需要客户端开放端口，这在常规设计中不存在，行业共识认为，服务器主动访问客户端在标准Web架构中不可行,除非有特殊漏洞或配置错误。
服务器访问客户端的实际场景
少数场景中，服务器会尝试连接客户端，例如P2P通信、远程协助工具，但这些属于非标准Web应用，且需要客户端安装特定软件，对于普通网站扫描，扫描器始终从客户端角度发起请求，服务器仅被动响应,无需担心服务器反过来扫描你的设备。
网站扫描添加/web路径的配置方法
网站扫描完全可以添加/web路径进行访问，这是扫描器路径过滤的常见功能，扫描时，通过设置目标URL或包含路径，扫描器仅对指定目录下的内容探测漏洞，目标为
example.com，配置路径/web，则扫描器只爬取并测试example.com/web/范围内的链接，此举可大幅提升扫描效率,尤其针对特定模块。
扫描路径配置的具体步骤
不同工具操作类似：
- Burp Suite：在Target > Scope中，选中“Use advanced scope control”，添加包含规则，路径填写
/web。 - Acunetix：新建扫描时，在“Target URL”后直接追加
/web，或在“Crawling”设置中限制路径。 - Nessus：在Web Application Tests中，指定“Target”为
http://example.com/web。 - 开源工具Nikto：使用
-root /web参数指定根目录。
关键点：扫描器会尊重路径限制，不越界探测其他目录，但需注意，如果网站使用动态路由或URL重写，路径配置可能不生效,需结合爬虫测试。
何时需要添加/web路径
- 网站有独立子应用，如
/web是前台模块，/admin是后台。 - 扫描资源有限,需优先覆盖高风险区域。
- 针对特定漏洞，如
/web目录存在文件上传功能。
但多数情况下，建议先全站扫描，再针对特定路径深入,避免因路径遗漏导致漏扫。
如何选择网站扫描路径
选择路径时，需结合网站结构和业务逻辑,常见路径包括：
- 根目录：覆盖所有公开内容。
- 子目录：如
/api、/upload、/old。 - 文件扩展名过滤：减少扫描噪音。
路径配置的常见误区
- 只扫描
/web而忽略其他,导致未发现其他路径漏洞。 - 路径包含通配符,误扫无关内容。
- 未登录状态扫描,无法访问受限路径。
正确做法：先使用爬虫发现所有路径，再根据风险排序选择扫描对象，也可以使用扫描器的“自动发现”功能,由工具自行决定路径。
网站扫描工具配置与价格
市场上有多种扫描工具，价格与功能差异较大，选择时需考虑预算、技术栈和支持。
- 开源工具：OpenVAS、Nikto、Wapiti完全免费，适合技术团队，但配置复杂,报告较基础。
- 商业工具：Acunetix、Netsparker、Burp Suite Professional年费在数千至数万美元，提供自动化扫描、漏洞验证和合规报告。
- 在线服务：Qualys、Sucuri按资产或扫描次数收费，适合中小企业,无需本地部署。
据统计，相当一部分企业选择混合使用开源工具进行日常扫描，商业工具用于关键审计，对于个人站长,免费工具即可满足基本需求。
- 服务器无法主动访问客户端,WebSocket等技术的双向通信依赖客户端先发起连接。
- 网站扫描器支持添加扫描路径，如
/web，可提高效率,但需避免漏扫。 - 扫描路径配置在主流工具中均有实现，操作简单,关键在合理规划。
- 扫描工具价格从免费到数万美元不等,根据需求选择。
关于服务器访问客户端与网站扫描路径的常见问题
问题1：服务器能否直接访问我的浏览器来获取数据？
不能，标准Web协议中，服务器只能响应请求，无法主动连接浏览器，即使使用WebSocket，也需要浏览器先发出握手请求，服务器主动访问客户端需要客户端开放端口，这在普通上网环境中被防火墙阻止,也不被浏览器支持。
问题2：网站扫描添加/web路径后，扫描结果为空怎么办？
检查路径是否准确，网站是否对该路径有访问权限，有时网站使用URL重写，实际路径非/web，可尝试使用扫描器爬虫功能，手动浏览该路径，确认响应正常，同时确保扫描器已通过身份验证,能访问受保护目录。
问题3：中小企业网站扫描方案如何选择，成本多少？
中小企业可选择开源工具如OpenVAS进行基础扫描，成本为零，若需自动化定期扫描，可考虑在线服务如Sucuri，年费约几百美元，提供基础安全监控，商业工具更偏向专业安全团队，价格较高，但功能全面,根据自身风险承受能力选择即可。