测评页面装上访问统计、会话回放或在线客服后，页面能正常答题，只能说明使用流程没有中断。机构还需要核实另一件事：这些组件收到的是访问次数、点击动作，还是已经带上了答题内容和报告文字。
这项核查适合由机构负责人提出范围、技术人员查看实际请求。用一份专门的合成答卷走完流程，比仅看“已开启脱敏”的设置更有说明力。
从进入答题页开始记录网络请求
会话回放通常需要重现页面变化，采集范围可能包含输入过程或页面显示的文字。普林斯顿大学研究团队在2017年的研究中发现了提交前采集和页面内容外传的具体情形。这是历史实证，产品规则与配置后来可能已有变化，核查当前网站应以当前版本、配置和实际请求为准。
测试可使用明显虚构的姓名，并在答案中放入容易识别、没有真实含义的标记。打开浏览器开发者工具的网络面板后，再从测评入口开始操作，覆盖作答、修改、返回、提交和查看结果等实际会发生的动作。网络面板开启之前的请求不会自动补录。
不要拿真实来访者的答卷试。使用获准的测试账号和与实际配置一致的受控环境，上线页面的采集配置也要单独核实；测试标记应与正常机构统计区分。
同一个答案，可能出现在四个位置
输入位置。查看输入、选择选项、失去焦点时是否触发额外请求，负载里是否出现答案值。部分工具会默认遮蔽输入框，这项规则仍需对照实际请求验证。
页面回显。答案可能在确认页、结果摘要或报告段落里再次显示。输入框已经遮蔽，不能据此推断后来显示的文字也被遮蔽。当前回放工具的官方文档就会分别规定输入控件和其他页面文字的处理方式。
网址和页面标题。姓名、报告编号或答案若被拼进网址参数，也可能随页面访问事件发送。检查时应展开完整地址，不能只看浏览器地址栏里最醒目的部分。
事件属性。“完成测评”这样的事件名称本身很普通，附带的属性却可能包括自由回答、报告内容或身份字段。需要展开查询参数和请求负载，看清字段的实际值。
机构为橙星云等测评服务配置网站入口时，可以把介绍页、实际答题页和报告页分别列入核对范围。各页面加载的组件可能不同，某一页的检查结果不能代替另外两页。
请技术人员交付一份能复查的记录
每条有疑问的请求，记录“什么动作触发、发往哪个域名、携带哪些字段、由哪个脚本发起”。浏览器网络面板中的Payload和Initiator可以帮助对应负载与发起来源。发往站外的请求需要结合具体服务用途判断；同一主域名下的接口，也可能继续在服务端转发数据。
核查范围应包括请求地址、请求标头和负载。没有找到某个明文标记，只能说明在此次捕获并查看的资料里没有找到；编码、压缩、延迟发送和尚未触发的页面行为，都可能影响这个结果。浏览器检查也看不到全部服务端处理，需要与接口实现及相关日志核对。
如果发现额外组件发送了本不需要的心理内容，应停用相应页面上的采集或修正具体采集规则，然后用同一组操作重测。规则更新对新数据的影响与已经存下的旧记录，是两项需要分别处理的工作。
保存网络证据时也要检查文件本身。Chrome的净化HAR会处理部分敏感标头，网址和请求负载仍可能留下内容。对外沟通只提供必要字段及处理后的截图或记录，原始文件由负责核查的人员控制访问。
验收记录最终要回答的是：本轮检查了哪些页面和动作，哪些字段确实发出了，修改后是否再次验证，以及还有哪部分需要服务端核对。一个有明确检查范围的结论，比“装了统计也很安全”这样的承诺更可靠。