写漏洞不是列问题清单,是写“我盯住哪块、卡在哪步、补哪道缝”。用“发现—定位—拦截—加固”四步链,每一环都带动作主语。别写“系统存在风险”,写“登录验证环节未强制二次校验”;别写“人员意识薄弱”,写“新入职员工首月未完成三级脱敏实操考核”。漏洞描述要能对上整改动作。