简介：PDF因其版式固定、跨平台一致、可离线查阅等特性，成为网络信息安全评估报告的标准交付格式。然而，完整版报告包含资产清单、威胁库、脆弱性分析、风险矩阵等结构化信息，手工排版耗时且易错。利用HTML+CSS定义版式，借助Jinja2模板引擎填充数据，再通过WeasyPrint渲染引擎生成PDF，可实现评估报告从数据到文档的自动化流水线。该方案支持自定义页眉页脚、书签导航、元数据注入以及风险矩阵图嵌入，显著提升报告生成效率与一致性。适用于等保测评、风险评估、安全审计等场景，帮助安全团队快速交付可检索、可追溯的合规文档。
1. 网络信息安全评估报告的完整版，为什么必须落在 PDF 上
客户、领导或监管方伸手要"评估报告完整版"时，十有八九是在等一份 PDF。不是 Word，也不是内部 Wiki 链接——因为 PDF 把页面版式、字体、图表固定成了不可漂移的形态，拿到 Windows 或 macOS 上打开都一样，打印和归档也省心。但真正做过的人知道，所谓"完整版"不是把段落凑齐就完事。评估过程产生的资产清单、威胁库、脆弱性匹配表、风险值计算口径、整改建议，每一类都必须有固定结构，且这些结构在 PDF 里要能检索、能跳转、能离线查阅。这篇文章就按做这一行常用的技术路径展开：先定义报告的信息模型，再用模板引擎生成 HTML，最后用工具链转成带书签和元数据的 PDF。适合需要频繁交付评估报告的安全工程师，以及被要求"出一份合规报告"但不想手工排版的技术负责人。
2. 评估报告先搭信息模型：章节结构、数据字段与模板选型
2.1 网络信息安全评估报告的核心章节与必备字段
一份能被称为"完整版"的评估报告，至少要覆盖从资产到风险的完整链路。我一般会固定 6 个主章节：项目概述与范围、资产识别与赋值、威胁与脆弱性分析、风险计算与等级判定、整改建议与优先级、附录（原始数据和工具输出）。这 6 章不是拍脑袋定的，它们对应风险评估的基本逻辑：通过资产、威胁、脆弱性三个要素计算风险值，再结合已有安全措施确定处置优先级。
每个章节内部要定义字段。比如资产识别表必须有：资产编号、资产名称、所属部门、责任人、可用性/机密性/完整性赋值。威胁与脆弱性分析表必须有：威胁源、威胁类型、对应脆弱性编号、脆弱性严重程度、已有控制措施。这些字段必须提前固定，因为后面做 PDF 模板、数据库导出、批量生成时，字段名就是程序里的变量名。字段没定，后面所有自动化都是空谈。
2.1.1 字段标准化示例
| 模块 | 字段名（英文标识） | 示例值 | 数据类型 |
|---|---|---|---|
| 资产 | asset_id | AS-001 | 字符串 |
| 资产 | asset_name | 核心生产数据库服务器 | 字符串 |
| 资产 | confidentiality | 高 | 枚举(高/中/低) |
| 威胁 | threat_source | 外部黑客 | 字符串 |
| 威胁 | threat_type | 恶意代码 | 枚举 |
| 脆弱性 | vuln_id | VUL-2024-001 | 字符串 |
| 脆弱性 | severity | 高危 | 枚举 |
| 风险 | risk_value | 81 | 数值 |
| 风险 | risk_level | 高 | 枚举 |
字段定义好了，报告的内容才不会"每次写法都不一样"。很多团队的直接痛点不是不会写报告，而是每个工程师输出一个样式，最终合稿时统一格式最耗时间。有了标准字段，模板和数据就能分离。
2.2 选择报告生成技术栈：Word、LaTeX、Markdown、HTML 转 PDF 的取舍
生成 PDF 的技术路径不少，但各有代价。我梳理过几种常见做法：
- Word + 宏/域：适合必须用 Office 的环境，但自动化程度低，目录更新和页眉页脚容易错位，批量生成需要操作 COM 接口，跨平台基本不可用。
- LaTeX：排版质量极高，表格和公式漂亮，但对中文支持需要额外配置 xeCJK 和字体，学习成本高，且团队里不是每个人都愿意写 LaTeX。
- Markdown + Pandoc：胜在轻量，但复杂页眉页脚、公司 Logo、风险矩阵图混排时控制力不足，生成的书签层级经常不符合预期。
- HTML + CSS + PDF 渲染引擎：这是最接近前端工程师思维的做法。HTML 能自由控制分页、页眉、页脚、标题层级、表格样式，还能嵌入图片和矢量图；CSS 的
@page规则能精确控制纸张尺寸和页边距；渲染引擎负责把 HTML 转成带书签的 PDF。
从维护成本看，HTML 模板更适合团队协作：前端同事能快速调样式，安全工程师只管填数据。所以我一般选这条路径，具体引擎用 WeasyPrint 或 Chromium 的 headless 打印模式。两者都能从本地 HTML 生成 PDF，且支持 CSS 分页媒体标准。
2.2.1 技术栈对比表
| 方案 | 中文支持 | 自动化程度 | 书签/目录 | 图表混排 | 推荐度 |
|---|---|---|---|---|---|
| Word + 宏 | 强 | 低 | 弱 | 中 | 不推荐 |
| LaTeX + xeCJK | 中 | 中 | 强 | 强 | 适合学术 |
| Markdown + Pandoc | 中 | 高 | 中 | 中 | 适合草稿 |
| HTML + WeasyPrint | 强 | 高 | 强 | 强 | 推荐 |
| HTML + headless Chrome | 强 | 高 | 中 | 强 | 备选 |
选型时还要考虑安装依赖。WeasyPrint 需要系统有 cairo、pango 等原生库，Windows 上安装相对麻烦；如果公司环境允许，用 Docker 镜像是最省事的方式。Chromium headless 则要求服务器有对应内核，不过现在 CI 里跑一个无头浏览器也很常见。
2.3 用 HTML 定义报告版式：一个最小可用的模板骨架
定了选型，下一步就是写 HTML 模板。模板里不要写死数据，而是用占位符。下面是一个最小模板骨架，它包含封面、目录占位、章节标题和表格：
<!DOCTYPE html> <html lang="zh-CN"> <head> <meta charset="utf-8"> <title>网络信息安全评估报告</title> <style> @page { size: A4; margin: 2.5cm 2cm 2cm 2cm; @top-center { content: "网络信息安全评估报告"; font-size: 9pt; color: #888; } @bottom-right { content: "第 " counter(page) " 页 / 共 " counter(pages) " 页"; font-size: 9pt; } } body { font-family: "Noto Sans CJK SC", "Microsoft YaHei", sans-serif; } h1 { color: #1a3e6f; border-bottom: 2px solid #1a3e6f; } h2 { color: #1a3e6f; } table { border-collapse: collapse; width: 100%; } th, td { border: 1px solid #999; padding: 6px 8px; font-size: 10pt; } th { background: #dce6f1; } </style> </head> <body> <h1>网络信息安全评估报告</h1> <p>报告编号：{{ report_id }}<br> 评估日期：{{ eval_date }}<br> 编制单位：{{ org_name }}</p> <h2>1. 项目概述</h2> <p>{{ overview }}</p> <h2>2. 资产识别</h2> <table> <tr><th>资产编号</th><th>资产名称</th><th>保密性</th><th>完整性</th><th>可用性</th></tr> {% for asset in assets %} <tr> <td>{{ asset.asset_id }}</td> <td>{{ asset.asset_name }}</td> <td>{{ asset.confidentiality }}</td> <td>{{ asset.integrity }}</td> <td>{{ asset.availability }}</td> </tr> {% endfor %} </table> </body> </html>这个模板里出现了{{ }}和{% for %}，它们是 Jinja2 模板引擎的语法。逻辑说明：@page块定义了 A4 纸张、页边距、页眉和页脚；页脚用 CSS 计数器显示当前页码和总页数；{{ report_id }}等是数据占位符；{% for asset in assets %}会遍历资产列表，为每一条数据生成一行表格。
参数说明：size: A4可换成size: A5或自定义尺寸；margin四个值分别对应上、右、下、左边距，按 cm 写不影响其他单位；页眉页脚里的content属性可以自由改文字，counter(pages)是 WeasyPrint 支持的 CSS 计数器。如果团队用 headless Chrome，@page的counter(pages)支持不完整，这时我会在生成脚本里用 PDF 库二次写入页脚。
3. 用 Python 自动生成完整版 PDF 评估报告的可复现流程
3.1 搭建最小环境：安装 Python 依赖与渲染引擎
HTML 模板需要渲染引擎。首选 WeasyPrint，因为它的分页媒体支持最完整。在 Python 3.9+ 环境中，安装方式如下：
pip install weasyprint jinja2如果系统缺少原生库，会报类似libpango-1.0.so.0: cannot open shared object file的错误。Debian/Ubuntu 上需要先执行：
apt-get install -y libpango-1.0-0 libcairo2 libgdk-pixbuf2.0-0 libffi-dev逻辑说明：WeasyPrint 本身是 Python 包，但底层依赖 Pango 负责文本布局，Cairo 负责渲染，所以需要系统级依赖。参数说明：libpango-1.0-0是文本布局引擎，缺了会导致中文字体错乱；libcairo2是 2D 图形渲染库，缺了图片和边框无法绘制。如果你在 Windows 上开发，建议直接用 Docker 镜像ghcr.io/ko-build/wkhtmltopdf之类的替代，但 WeasyPrint 的官方 Docker 镜像比较老，我一般在自己项目的 Dockerfile 里装这些依赖。
3.2 编写数据填充脚本：从 Excel 或数据库读取评估结果
评估报告的数据通常来源于安全扫描工具（Nessus/Nexus 等）、资产台账或手工评估表。为了自动化，我会把数据统一整理成 JSON 结构，然后传给 Jinja2 模板。以下是一个真实的数据处理示例：
import json from jinja2 import Environment, FileSystemLoader # 模拟从扫描工具导出的数据 data = { "report_id": "SEC-2024-008", "eval_date": "2024-12-20", "org_name": "某省政务云平台", "overview": "本次评估覆盖 12 个核心业务系统，发现高危漏洞 4 个，中危 8 个。", "assets": [ {"asset_id": "AS-001", "asset_name": "核心数据库服务器", "confidentiality": "高", "integrity": "高", "availability": "高"}, {"asset_id": "AS-002", "asset_name": "Web 应用服务器", "confidentiality": "中", "integrity": "高", "availability": "中"}, ] } env = Environment(loader=FileSystemLoader("templates/")) template = env.get_template("report_template.html") rendered_html = template.render(data) with open("report.html", "w", encoding="utf-8") as f: f.write(rendered_html)这段代码的逻辑说明：用FileSystemLoader指定模板目录，template.render(data)把词典里的report_id、overview、assets等变量替换到模板中，最终把渲染后的 HTML 存成中间文件。实际项目中，data通常会从扫描仪器的 API 拉取，或者从 Excel 用 pandas 读取，然后转换成同样的字典结构。
参数说明：encoding="utf-8"必须写，否则 Windows 下写文件会用 GBK 导致 HTML 里的中文乱码。Environment可以设置autoescape=True来防止恶意 HTML 注入，如果报告数据可信度较高，可以保持默认关闭，但最好开启避免意外。
3.3 将 HTML 渲染为 PDF：WeasyPrint 核心调用与参数配置
渲染 HTML 到 PDF 的代码很简单，但参数有讲究：
from weasyprint import HTML HTML(filename="report.html").write_pdf("网络信息安全评估报告完整版.pdf", stylesheets=["style_extra.css"])这段代码会读取report.html，将其中引用的 CSS 和内置样式合并，输出为 PDF。stylesheets参数可以追加额外的 CSS 文件，用于覆盖模板里的默认样式。比如某些报告需要额外调整行距，可以在style_extra.css里写：
body { font-size: 10.5pt; line-height: 1.7; } table td { padding: 4px 6px; }逻辑说明：HTML(filename=...)也可以改成HTML(string=rendered_html)，这样就不必先生成中间 HTML 文件。中间文件的好处是调试时可以单独用浏览器打开 HTML 看结构，坏了直接检查渲染之前的 HTML。输出路径里的中文文件名是允许的，但要注意操作系统文件系统编码，Linux 下默认 UTF-8 没问题。
参数说明：write_pdf没有太多参数，但它会扫描 HTML 中的所有<link>和本地资源。如果模板里有相对路径的图片，比如images/risk_matrix.png，WeasyPrint 会以 HTML 文件所在目录为基准解析。如果你使用HTML(string=...)，需要额外传base_url参数，否则图片和外部样式找不全。
生成后可以立刻用pdfinfo检查基本信息：
pdfinfo "网络信息安全评估报告完整版.pdf"输出会显示文件页面数、页大小、PDF 版本、作者、创建时间等。这一条命令非常值得养成习惯，因为它能快速确认文件没有损坏、页数是否符合预期。
4. 风险矩阵图、书签目录与元数据：让 PDF 真正“完整”
4.1 用 matplotlib 生成风险矩阵图并嵌入报告
风险评估报告离不开风险矩阵图。通常横轴是威胁发生可能性，纵轴是影响程度，颜色块从绿到红表示风险等级。用 Python 绘制并嵌入 PDF，比在 HTML 手动画表格更直观。以下代码生成一张 5×5 风险矩阵：
import matplotlib.pyplot as plt import numpy as np risk_values = np.array([ [2, 4, 6, 8, 10], [4, 6, 9, 12, 16], [6, 8, 12, 16, 20], [8, 10, 15, 20, 25], [10, 12, 18, 25, 30] ]) fig, ax = plt.subplots(figsize=(6, 5)) im = ax.imshow(risk_values, cmap="RdYlGn_r", aspect="auto") ax.set_xticks(range(5)) ax.set_yticks(range(5)) ax.set_xticklabels(["极低", "低", "中等", "高", "极高"], fontsize=9) ax.set_yticklabels(["极低", "低", "中等", "高", "极高"], fontsize=9) ax.set_xlabel("威胁发生可能性") ax.set_ylabel("影响程度") for i in range(5): for j in range(5): ax.text(j, i, risk_values[i, j], ha="center", va="center", fontsize=8) plt.tight_layout() plt.savefig("risk_matrix.png", dpi=200)逻辑说明：imshow把数值矩阵映射为颜色块，cmap="RdYlGn_r"表示红在数值高处、绿在低处，_r反转了默认颜色顺序。aspect="auto"避免单元格变成正方形导致图片过宽。保存时dpi=200是给 PDF 用，打印清晰度够，且文件不会过大。
参数说明：风险矩阵的阈值分级不是固定的，很多公司有自己的一套算法。我这里的 5×5 只是示例，实际应根据《风险评估方法》里的公式计算，比如风险值 = 资产价值 × 威胁可能性 × 脆弱性严重程度，然后把风险值映射到 5 档。如果你们用 4×4 或 3×3 矩阵，改数组维度和xticklabels即可。
在 HTML 模板中嵌入图片，只需在需要的位置加：
<img src="images/risk_matrix.png" alt="风险矩阵图" style="width: 70%; display: block; margin: 0 auto;">注意src是相对路径，WeasyPrint 会把图片压缩进 PDF 内部，所以单独删除这个 PNG 不影响 PDF 显示。
4.2 书签与目录：让 PDF 能像网页一样跳转
没有书签的 PDF，只能从头滚动到黑，完整的报告必须有目录大纲。WeasyPrint 自动根据 HTML 中的h1到h6生成书签。上面的模板用了h1和h2，生成 PDF 后打开侧边栏，就能看到两级目录。如果想自定义书签名称，可以在 HTML 标签上加bookmark属性：
<h2 bookmark="1. 项目概述">1. 项目概述</h2>逻辑说明：bookmark是 WeasyPrint 私有的 HTML 属性，它会把书签的显示文字改成属性值。如果不加，就用标签文本。建议章节编号写进标题里，书签会自然层级分明。
但"目录页"和"书签"是两回事。目录页是正文前的一页，显示各章节页码；书签是 PDF 阅读器侧边栏的导航树。做目录页最简单的方式是让 PDF 渲染引擎自动收集页码，不过 WeasyPrint 不支持target-counter的跨页引用。我常用的替代方案是：目录页用 CSS 的lead或者直接手写链接。手写时用<a href="#section1">1. 项目概述</a>，并在对应章节标题上加id：
<a href="#section1">1. 项目概述</a> <h2 id="section1">1. 项目概述</h2>这样在 PDF 里点击目录文字会跳转到对应章节。这是 Web 原生的锚点行为，WeasyPrint 会保留。
4.3 元数据、加密与权限设置
生成后的 PDF 默认没有作者、标题等信息，这不利于归档和检索。WeasyPrint 会读取 HTML 的<title>作为 PDF 标题，但其他元数据需要借助 Python 的pikepdf库在生成后注入：
pip install pikepdffrom pikepdf import Pdf, Encryption pdf = Pdf.open("网络信息安全评估报告完整版.pdf") with pdf.open_metadata() as meta: meta["dc:title"] = "网络信息安全评估报告完整版" meta["dc:creator"] = "安全运营中心" meta["pdf:Keywords"] = "网络信息安全, 评估报告, 风险矩阵" meta["xmp:CreateDate"] = "2024-12-20T18:00:00+08:00" pdf.save("report_with_metadata.pdf", encryption=Encryption(owner="owner-pass", user="user-pass")) pdf.close()逻辑说明：open_metadata()以可编辑方式打开 XMP 元数据，可以直接赋值。dc:title是 Dublin Core 标准，pdf:Keywords是 PDF 的定制字段。保存时通过encryption参数设置密码，owner是所有者密码，用于控制权限；user是打开文档需要的密码。如果不想加密，可以省略encryption参数。
参数说明：建议把元数据写入放在 PDF 渲染完成后，而不是写入 HTML，因为 HTML 元数据没有统一标准。加密等级默认是 RC4，现在推荐传Encryption(owner=..., user=..., algorithm="AES-256")，但要确认阅读器兼容性。归档型报告我会设 owner 密码而不设 user 密码，这样任何人都能打开，但只有知道 owner 密码的人能修改权限。
5. 网络信息安全评估报告 PDF 验收：三个必调参数与易错点
5.1 用 pdftotext 验证报告文字可检索性
"完整版"不能是扫描图片。很多团队用 WPS 或在线转换器把 Word 导出成 PDF，文本保留了检索能力；但用某些设计软件生成 PDF 时，文字被转成矢量曲线或图片，导致 Ctrl+F 搜不到关键词。验收时必须检查：
pdftotext "网络信息安全评估报告完整版.pdf" - | grep "风险值"如果有输出，说明文字层存在。如果没有，说明 PDF 是纯图像或字体未嵌入。另一点是字体内嵌：用pdffonts查看：
pdffonts "网络信息安全评估报告完整版.pdf"输出中每一行对应一种字体，Type 列如果是Type3或未嵌入，打印时可能替换字体。正常应该是TrueType或CID TrueType并带有embedded标记。WeasyPrint 默认会嵌入本地能找到的字体，所以我会在模板 CSS 中明确指定"Noto Sans CJK SC"，并确保系统已安装。
5.2 三个必调参数：行距、页边距、图片压缩
渲染报告时最容易出问题的是分页：一个章节标题出现在页底，表格被切到下一页，行间距过大导致总页数虚高。我通常固定三个参数：
line-height: 1.6～1.8，正文常规使用1.6，表格内1.2；@page { margin: 2.5cm 2cm 2cm 2cm; }，不要小于2cm，装订或打印时白边不够；- 图片导出
dpi=200，统计分析图表dpi=150，超过 300 会无意义增大 PDF 体积。
这三个参数不是拍脑袋定的。行距小于1.5时，中文长段落读起来密集；大于2时整个报告页数会多 20%。页边距和装订线需要协调，如果客户要求双面打印，左边的边距最好设到2.5cm。图片方面，Web 截图类图片用 PNG 保真，风险矩阵这类矢量图形建议存 SVG 再嵌入，或直接在matplotlib里savefig成 PDF 矢量格式。
5.3 版本管理：源文件与 PDF 的一致性
这是最后一层保障。评估报告有修改周期，改一版数据就要重新生成 PDF，最怕的是 PDF 已经是新版，但源 Excel 还是旧版。我一般会在报告副标题里写版本 v2.1，并在生成脚本里用 Git 提交哈希作版本号：
import subprocess commit = subprocess.check_output(["git", "rev-parse", "--short", "HEAD"]).decode().strip() data["version"] = f"v2.1-{commit}"然后在 HTML 封面页展示这个版本。这样 PDF 的元数据、正文和代码仓库能一一对应。最后再跑一次pdfinfo确认页数，用pdftotext抽查 2～3 个关键词，几乎所有交付坑都能避开。
本文还有配套的精品资源，点击获取
