了解软件安全专项测试
围绕软件保护对象、账号角色和数据归属确定安全专项范围，结合配置核查、运行态检测及人工业务验证检查控制。记录可复现的问题和修复方向，按约定复测原路径与相关接口，说明本次测试的条件和限制。
报告用途
报告主要用于项目验收以及分析和了解系统的安全状况，在现有环境中系统是否存在高危、中危、低危漏洞，常见漏洞如SQL注入等内容。
测试内容
依据国家标准GB/T25000.51-2016《系统与软件工程系统与软件质量要求和评价(SQuaRE)第51部分:就绪可用软件产品(RUSP)的质量要求和测试细则》对软件产品的信息安全性进行测试，测试内容主要包括软件安全检查、web漏洞扫描、源代码安全扫描、渗透测试等。 具体适用标准、版本和测试项以委托前确认的测试方案为准。
提供材料
1、委托测试申请表；（必需）
2、待测需求清单；（必需）
3、其他相关的文档，如招投标文件、任务书等。（非必需）
测试范围
信息安全性。
CMA / CNAS / CCRC
CMA
检验检测机构资质认定
CNAS
实验室认可
CCRC
信息安全风险评估服务资质
公司资质展示，适用范围按证书及项目核对。
我们会做什么
从需求与范围确认，到实施验证与资料交付，具体安排结合项目情况确认。
01
梳理保护对象与权限
明确账户、文件及敏感信息等保护对象，建立角色与操作对应关系，核对部门、租户和数据归属之间需要验证的隔离。
02
确认授权与运行条件
准备版本、部署范围、接口及测试账号，约定方法、时段和停止条件，涉及生产或第三方服务时另核对授权与回退安排。
03
组合方法检查安全控制
按确认范围开展配置核查、运行态检测和人工业务验证，必要时结合代码审计，将工具线索转成有条件和证据的发现。
04
定位问题提出修复方向
说明问题位置、复现条件、受影响对象和修复建议，区分安全要求未满足与尚未验证事项，便于开发和运维安排整改。
05
复测访问路径交付结果
按约定重测原问题及相同权限路径、相邻接口，记录修复版本、结果与剩余限制，交付本次安全专项检测材料。
哪些情况需要软件安全专项测试
合同安全要求核对
项目文件对软件信息安全性提出具体要求时，逐项确定对象、方法与证据，形成与约定测试项对应的专项结果。
多角色数据隔离检查
软件按部门、租户或用户划分数据时，结合账号和访问规则验证边界，检查不同入口是否执行相同的授权要求。
上线前安全缺陷整改
产品发布前需要核对安全状态时，在授权范围内组合方法发现问题，并在整改后复核相邻路径及相关接口的处理情况。
服务重点
准备授权和测试条件：提供软件版本、部署范围、接口说明、测试账号及权限矩阵，明确允许的测试方法、时段、停止条件与紧急联系人。
组合方法验证控制：可在约定范围内开展配置核查、运行态检测与人工业务验证，必要时结合源代码审计。
修复建议与复测闭环：交付内容宜包含问题位置、复现条件、影响说明、修复方向及范围限制。
把安全要求落到业务对象
安全专项测试应先说明保护什么、谁可以访问、哪些操作必须受到限制。对于账户、文件、订单或敏感信息，建立角色与操作的对应关系；管理员与普通用户之外，还应考虑不同部门、租户或数据归属之间的隔离。产品上线前检查与合同中的安全测试项可据此确定重点。
准备授权和测试条件
提供软件版本、部署范围、接口说明、测试账号及权限矩阵，明确允许的测试方法、时段、停止条件与紧急联系人。优先用测试数据验证访问边界；涉及生产环境、第三方服务或可能改变数据的操作，应单独核对授权和回退安排。
组合方法验证控制
可在约定范围内开展配置核查、运行态检测与人工业务验证，必要时结合源代码审计。自动化工具发现只是线索；需要确认触发条件、资产影响和证据充分性。OWASP WSTG 可作为 Web 测试方法参考，但具体项目仍应选择适用项，不能套用一张清单就宣称全面安全。
修复建议与复测闭环
交付内容宜包含问题位置、复现条件、影响说明、修复方向及范围限制。复测不仅再次触发原问题，还要检查修复是否覆盖相同权限路径和相邻接口。未发现问题仅代表本次范围、时间与方法下的结果，不能承诺系统没有漏洞或保证未来不会遭受攻击。
常见问题
软件安全测试与渗透测试如何选择？
先看目标。若要核对产品的具体安全要求，适合组织专项检查；若要验证攻击路径和真实可利用影响，可讨论渗透测试。两者有交集，应以范围、方法和交付约定区分。
