网站恶意代码检测，分组后结论与总体相反时怎样查分母
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /cbdc6c0057f4.html
📄
网站恶意代码检测，分组后结论与总体相反时怎样查分母
先不要改结论，先回到分母。分组后结论与总体相反，最常见的原因是总体分母里混进了本不该参与比较的页面或访问，或者分组时用了不同的统计口径。你能做的最小动作是：把总体和每个分组的分子、分母分别列出来，检查同一行的分子是否真的属于同一行的分母。如果这一点做不到，就只能保留“总体与分组不一致”这个观察，不能据此判断哪一组更安全。
先确认两种相反分别意味着什么
一种相反是方向相反：总体看恶意代码命中率在下降，分组看每一组都在上升。另一种相反是强弱相反：总体看A组比B组严重，分组看B组比A组严重。这两种情况查分母的顺序不同。
方向相反通常指向分母构成变化。比如总体分母里新增了大量低风险页面，它们把总体比例拉低，但原有各组的比例没变甚至上升。强弱相反通常指向分组口径不一致，比如A组按页面数算，B组按访问数算，或者两组对“命中”的定义不同。
判断依据不是比例本身，而是同一时间窗口内分子和分母的对应关系。如果分子来自一次扫描，分母来自另一次扫描，两组数字就不该直接放在一起比较。
查分母的四个动作及各自能推出什么
动作一：把总体分母拆成“老页面+新页面”
如果总体比例下降而各组比例上升，先看总体分母里是否新增了一批从未出现过恶意代码的页面。做法是把总体分母按首次纳入检测的时间分成两段，分别算比例。
结果会影响下一步：如果老页面段的比例与分组结论一致，说明总体下降来自新增页面的稀释，分组结论可以保留；如果老页面段的比例也在下降，说明分组结论本身需要重新核对分子。
这个动作只需要页面清单和检测时间，不需要完整访问日志，适合权限不足时先做。
动作二：核对分子是否被重复计入分母
同一页面在总体里算一次，在分组里可能因为多个URL参数、多个子域或多个检测批次被算成多次。分母被重复放大后，比例会被压低。
做法是选一个分组，把该组的页面标识与总体分母的页面标识做交集和差集。差集里如果出现同一页面的不同写法，就说明分母口径不一致。
能推出的结论仅限于口径问题，不能推出“某组更干净”。如果差集为空，重复计入不成立，需要转向下一个动作。
动作三：检查分组是否覆盖了全部总体
分组比例上升、总体比例下降，也可能是分组只覆盖了总体的一部分，而未被覆盖的那部分拉低了总体。
做法是把各分组的分母相加，与总体分母比较。差额部分单独算一次比例。如果差额部分的比例明显偏低，总体与分组的矛盾就来自覆盖不全，而不是检测结果本身。
这一步的结果决定你是保留分组结论、改写结论范围，还是退出当前比较。差额部分无法归类时，应当退出，只报告总体和已覆盖分组，不强行给出统一结论。
动作四：用同一时间窗口重算一次
如果总体用的是月度数据，分组用的是周度数据，两者本来就不该直接比较。做法是把分子和分母都限制在同一时间窗口内重算。
重算后如果矛盾消失，说明原结论是时间口径造成的；如果矛盾仍在，才需要回到检测规则本身。这一步不能证明检测规则正确，只能排除时间口径这一种解释。
保留、改写还是退出
保留的前提是：总体分母和分组分母来自同一份页面清单、同一时间窗口、同一检测规则，且差额部分已单独计算并解释清楚。满足这些条件时，分组结论可以保留，总体结论需要注明“受新增页面稀释”。
改写的前提是：只能确认分母构成变化，无法确认分子是否准确。这时应把结论改写成“在已覆盖的页面范围内，各组比例如何”，不写总体趋势。
退出的前提是：分子和分母无法对应，或分组覆盖不全且差额部分无法归类。退出不是放弃检测，而是把当前比较标记为不可用，先补齐页面清单和检测时间，再重新计算。
三种取舍没有默认优先级。缺数据时先做动作一和动作三，因为它们只依赖页面清单；有完整日志时再做动作二和动作四，因为它们需要标识级对应关系。
一个假设例子：只看比例会得出相反判断
假设某站点总体有1000个页面，其中20个命中恶意代码，总体命中率为2%。按栏目分组后，A栏目200个页面中10个命中，B栏目100个页面中10个命中。总体看A比B干净，分组看两组相同。
再假设总体分母里新增了700个从未检测出问题的页面。此时总体命中率变成20除以1700，约为1.2%，看起来在下降；而A、B两组的分母没有变化，比例仍是5%和10%。这就是分组结论与总体相反的情形。
查分母的动作是：把新增的700个页面单独列出，确认它们是否真的经过检测、是否属于同一时间窗口。如果这700个页面只是尚未检测，就不能算入分母，总体比例应回到2%。这一步的结果直接决定是保留分组结论，还是先补检测再比较。
不能从分母核对中推出的结论
分母对齐只能说明比较口径是否一致，不能说明恶意代码是否已被清除，也不能说明某个栏目更安全。检测命中数归零有多种解释：规则未覆盖、扫描未执行、页面已下线，或者确实已清除。这些解释需要分别用规则清单、执行记录和页面状态来排除，不能靠比例变化单独判断。
同样，总体比例下降不等于风险下降，分组比例上升也不等于风险扩散。在分母未对齐之前，这些方向性描述都只能作为待验证的观察，不能作为处置依据。
