安卓安全检测服务商快速筛选法，10个问题问完排除80%不靠谱的

时间紧、预算有限、老板盯着——选安卓安全检测服务商最怕什么？怕问不出对的问题，被销售话术带着跑。我总结了一套10个问题的快速筛选法，每个问题都配有「合格回答」和「危险信号」，打完电话就能排除80%的不靠谱选手。

第一轮：资质核验（2个问题，筛掉“没牌照”的）

Q1：你们的检测报告带CNAS或CMA标识吗？检测范围是否包含“移动应用软件安全检测”？

很多小服务商会说“我们报告很专业的”，但监管部门只认章。

• 合格回答：“可以，我们的CNAS证书编号是XXXXX，您可以去CNAS官网核实。CMA资质认定的检测能力范围里明确包含‘移动应用软件安全检测’。”
• 危险信号：“我们报告行业都认的”“CMA正在申请中”“证书在走续期流程”。

Q2：你们是CCRC签约的App安全认证检测机构吗？（如果涉及隐私合规）

如果你们的APP需要上架应用商店或应对隐私合规抽查，这个问题很关键。

• 合格回答：“是的，我们在CCRC签约检测机构名录里，可以出具CCRC认可的App安全认证技术验证报告。”
• 危险信号：“什么是CCRC？”“那个太贵了没必要”“我们出个类似的报告就行”。

第二轮：能力验证（3个问题，筛掉“只会跑自动化工具”的）

Q3：你们的检测是纯自动化扫描，还是有人工渗透测试？手工占比多少？

纯自动化工具只能扫出常见漏洞，业务逻辑漏洞、越权漏洞必须靠人挖。

• 合格回答：“我们采用自动化+人工结合，核心漏洞挖掘靠资深渗透测试工程师手工完成，参考OWASP Top 10和PTES标准。”
• 危险信号：“我们的工具很先进的”“人工成本很高，我们自动化就能覆盖90%”“客户一般都选自动化的”。

Q4：能不能针对我们APP的某个业务场景（如支付、登录）做一次定向渗透演示？

这是POC的核心环节。让服务商现场演示，别让他们只放PPT。

• 合格回答：“可以，请提供一个测试包和测试账号，我们会在2小时内给出至少一个真实可利用漏洞的演示。”
• 危险信号：“得签合同才能测”“我们内部有规定不能提前做测试”“这个需要另外收费”。

Q5：你们检测覆盖哪些应用形态？Android、iOS、鸿蒙、小程序都支持吗？

如果你们是多端业务，别被“只测Android”的服务商绑死。

• 合格回答：“Android/iOS/鸿蒙我们都支持，不同平台的检测项会根据系统特性做差异化适配。”
• 危险信号：“鸿蒙还没完全适配”“iOS测不了那么深”“小程序我们外包给别的团队做”。

第三轮：流程与保密（2个问题，筛掉“高风险”的）

Q6：检测过程中，我们的代码需要出环境吗？支持私有化部署吗？

这是很多技术负责人最容易忽略的风险点——把源码发给服务商，本身就是攻击面。

• 合格回答：“支持私有化部署，检测工具可以部署在你们自己的服务器上，代码不出域。如果必须发样本，我们会加密传输并签署详细的保密协议。”
• 危险信号：“必须把APK或源码发给我们”“我们这边环境更专业”“保密协议有模板，签一下就行”。

Q7：检测出漏洞后，你们负责指导修复吗？复测收费吗？

很多服务商靠“复测另收费”赚二次钱，提前问清楚。

• 合格回答：“漏洞修复指导包含在检测服务内，同一版本我们会提供一次免费复测，确保整改到位。”
• 危险信号：“修复是另外的团队负责”“复测要看漏洞数量定价”“我们只出报告，不负责修”。

第四轮：交付与售后（3个问题，筛掉“报告废纸”的）

Q8：你们的报告格式，等保测评机构或应用商店审核认吗？有没有被驳回的案例？

报告的价值取决于“收件方”认不认。

• 合格回答：“我们的报告模板直接对标等保2.0和《移动金融客户端应用软件安全管理规范》，客户拿去送审一次通过率超过90%。”
• 危险信号：“这个得看测评机构”“我们只负责出报告”“之前有客户被驳回，但那是他们自己没沟通好”。

Q9：紧急漏洞响应SLA怎么定？有没有7×24小时应急联系人？

万一APP上线前夜扫出高危漏洞，服务商能不能兜底？

• 合格回答：“高危漏洞24小时内响应，提供临时修复方案。合同里写明7×24应急联系人和响应时效。”
• 危险信号：“按工单流程走”“周末不上班”“紧急情况加急要额外收费”。

Q10：能不能提供2-3个同行业客户案例？我可以电话简单核实。

别只看官网的Logo墙，要能找到真实对等人聊两句。

• 合格回答：“可以，我们有金融/游戏/政务行业的客户，征得同意后可以提供联系人。”
• 危险信号：“客户名单涉及保密”“Logo墙上那些都能查到”“我们不提供客户背调服务”。

快速打分卡：10个问题及格线

判断标准：

• ≥80分：靠谱候选，可以进入合同谈判
• 60-79分：可能存在风险，建议补充POC验证
• <60分：直接pass，别浪费时间谈第二轮

一个实操建议

把这10个问题做成电话沟通模板，按顺序问，不要被销售带偏。前两个问题（资质）如果对方回答含糊，直接结束通话——没牌照的服务商，聊再多都是浪费时间。

我当年筛选时，用这套方法把15家候选名单砍到3家，每家POC阶段的沟通效率大幅提升。核心逻辑很简单：把“你觉得你们怎么样”变成“请回答是或不是，证明给我看”。