POC 概念验证

POC（Proof of Concept，概念验证）指为了证明某个想法、技术方案或漏洞真实可行，而做出的最小化原型、演示或验证代码。

概述

在软件和互联网行业，团队在正式投入开发之前，往往会先做一个 POC：用尽量少的时间和代码，把方案中最关键、最不确定的部分跑通。如果 POC 成功，说明思路可行，可以继续投入；如果失败，则及早止损，避免在错误方向上浪费资源。

在企业采购和选型场景中，POC 也指厂商为客户搭建的试用验证环境，客户用真实业务数据测试产品是否满足需求，再决定是否签单，这一过程常被称为「做 POC」或「POC 测试」。

在网络安全领域，POC 有更具体的含义：指证明某个安全漏洞确实存在的验证代码或利用步骤。安全研究人员提交漏洞报告时通常需要附上 POC，让厂商能够复现问题。它与 Exploit（利用程序）不同，POC 只求证明漏洞存在，不追求实际攻击效果。

主要特点

• 目标单一：只验证最核心的可行性问题，不追求功能完整和代码质量。
• 成本低、周期短：投入尽量少的人力和时间，快速得出「行或不行」的结论。
• 通常是一次性的：POC 代码一般不直接用于生产环境，验证结束后往往重写。
• 语境多义：在开发、售前、安全等不同场景下含义略有差别，需结合上下文理解。

与相关概念的区别

POC 常与原型（Prototype）和 MVP（最小可行产品）混淆：POC 回答「技术上能不能做」，原型侧重展示产品长什么样、怎么交互，而 MVP 是可以交付给真实用户使用的最简版本。三者验证的问题和完成度依次递进。

常见问题

问:POC 和 Demo 是一回事吗?答:不完全是。Demo 是面向他人的演示，重在展示效果；POC 重在验证可行性，结论比展示更重要，一个 POC 可以很简陋。

问:安全圈说的「放出 POC」是什么意思?答:指公开某个漏洞的验证代码。POC 公开后，防守方可以据此检测和修补，但攻击者也可能利用，因此发布时机常有争议。

问:POC 代码可以直接上生产吗?答:不建议。POC 通常忽略了异常处理、安全性和性能等问题，验证通过后应按工程标准重新实现。