网站安全查询：工具换数据源后历史曲线是否还能连接
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /d2c1dc502ed5.html
📄
网站安全查询：工具换数据源后历史曲线是否还能连接
不一定能连接，关键看新旧数据源是否采用同一套“站点标识＋观测口径＋时间粒度”。如果三者一致，历史曲线通常可以续接；只要其中一项换了定义，曲线即使画在一起，也是在比较两种不同的东西。判断方法不是看工具界面是否显示连续，而是查清旧数据源停用时的最后一条记录与新数据源的首条记录能否对齐。
先分清两种“换数据源”
网站安全查询工具更换数据源，常见两种情形，处理方式完全不同。
- 同一口径换供应商：新旧来源都在测同一件事，比如都在采集同一类证书状态或同一类页面风险特征，只是供应方换了。这种情况历史曲线大概率能续接，但需要核对时间戳时区和采样频率。
- 口径本身变了：旧源统计的是A类信号，新源统计的是B类信号，或者把“发现即计入”改成“确认后才计入”。这种情况曲线不能直接连，只能重新起一条基线。
很多误判来自第二种情形被当成第一种处理。曲线在图上连上了，但拐点其实来自定义变化，不是站点安全状况真的变了。
三个可以验证的条件
要让历史曲线真正可连接，至少满足以下条件，缺一项就要在图上断开或加注释。
- 站点标识可映射。旧源用域名，新源用注册主体或资产ID，就需要一张映射表。映射不上的站点，其历史点只能单独保留，不能并入新曲线。
- 观测口径可比。确认两边统计的是同一类事件、同一判定阈值。若旧源把“疑似”计入总数，新源只计“已确认”，历史段整体偏高，续接会制造一个虚假的下降。
- 时间粒度对齐。旧源按天聚合，新源按小时聚合，直接拼接会让曲线在切换点出现锯齿。应先按较粗的粒度重采样，再连接。
假设某站点旧源最后一次记录在3月31日，新源首条记录在4月10日，中间九天空白。这时有两种做法：一是把空白段标注为“无数据”，曲线断开；二是用插值补上。后者只在确认这段时间站点无重大变更时才成立，否则补出来的线会掩盖真实缺口。这个例子仅为说明比较方法，具体数值需按实际记录核对。
一个会让结论失效的反例
即使上述三个条件都满足，仍有一种情况会让续接失去意义：旧数据源在停用前已经出现系统性偏移。比如旧源因采集节点减少，导致后期漏报增多，曲线本就偏低。此时把它和新源拼在一起，看起来是安全状况“变差”，实际是旧源后期失真。识别方法是回看旧源停用前两到四周的记录量变化，如果记录量持续下滑而站点本身没有下线或改版，就要怀疑是采集侧问题，而不是站点侧问题。记录量归零或骤降，也可能来自采集调度暂停、接口限流或站点临时不可达，不能单独作为判定依据。
下一步：先做对照期，再决定怎么画
在正式切换前，如果条件允许，让新旧两个数据源并行运行一段时间，比如两到四周。然后逐个站点比对同一时间窗内的判定结果，算出不一致的比例。不一致比例低的站点，历史曲线可以直接续接；不一致比例高的站点，应在新源上重新建立基线，旧曲线只作为参考保留，并在图上明确标注切换点。
这个动作的结果会直接决定后续怎么读图：能续接的站点，趋势判断可以跨切换点；不能续接的站点，任何跨切换点的涨跌都应先排除口径变化，再看是否真有安全事件。若并行对照不可行，退而求其次的做法是保留旧曲线的最后一段，单独标注“旧口径”，新曲线从切换日起算，两者不合并。具体工具是否支持这种分段展示，需要以该工具当前的实际功能为准，不同产品差异较大。
