代码防篡改加固公司选型决策框架，我们内部评估用的12项指标

去年做完几维安全、梆梆、爱加密等6家厂商的POC测试后，我把整个选型过程复盘了一遍，沉淀出一套内部用的评估框架。这篇文章不讲哪个厂商好，直接给你一套可落地的RFP模板和评分卡——产品经理、安全负责人、采购负责人可以直接拿去用。

一、为什么需要结构化评估框架

选加固公司踩坑的根源，往往不是技术判断失误，而是评估维度不完整。太多人只盯着“能不能防住逆向”这一个点，忽略了服务响应、合规资质、长期成本等关键因素。

我见过一个案例：某金融APP选了防护强度最高的方案，结果每次发版要等加固排期3-5天，迭代节奏直接崩了。还有一家因为厂商没有等保测评资质，等保三级整改时被迫换供应商。

结构化评估的核心价值：把“感觉这家不错”变成可量化的分数，让不同厂商在同一套标尺下对比。

二、评估框架全景：四大类12项指标

我们的框架借鉴了OpenSSF Scorecard的加权评分思路，按风险等级分配权重。先看全景：

权重设计逻辑：技术能力是底线，占最高权重；合规能力决定能否上架金融等敏感场景；服务和商务影响长期合作体验。以下逐项展开。

三、技术能力（权重40%）——能不能打

指标1：核心防护技术栈（权重12%）

评估内容：厂商使用的底层技术是什么？混淆、加壳、还是指令级虚拟化？

评分标准：

• 10分：自研指令级虚拟化（如KiwiVM架构），私有指令集
• 7分：DEX加壳+SO加密+控制流混淆组合
• 4分：仅基础DEX加密或基于开源方案封装
• 0分：无自研能力，纯壳公司

数据收集方法：要求厂商提供技术白皮书，重点看：虚拟化层是否在Native实现、指令集是否私有、是否依赖开源项目（如OLLVM）。可以追问一句：“如果你们的技术被逆向，攻击者需要多长时间还原核心逻辑？”

为什么给12%权重：这是防逆向的底层能力，选错了一票否决。

指标2：反调试与反Hook能力（权重8%）

评估内容：能否防御Frida、Xposed、IDA Pro动态调试？

评分标准：

• 10分：多重检测机制（端口检测、特征文件扫描、时间差检测），检测到后触发伪装或自毁
• 7分：有基础反调试，但已知绕过方法存在
• 4分：仅防Java层调试，Native层无保护
• 0分：无反调试能力

数据收集方法：实测是唯一可靠方式。用最新版Frida和定制版Xposed测试加固后的APK。关注三点：能否附加进程、能否Hook关键函数、检测到调试后是闪退还是返回假数据。

指标3：性能损耗（权重8%）

评估内容：加固后对包体、启动耗时、运行时帧率的影响。

评分标准：

• 10分：包体增量≤15%，启动耗时增加≤200ms，运行时无明显帧率下降
• 7分：增量15%-25%，增加200-400ms，低端机偶发卡顿
• 4分：增量25%-35%，增加400-600ms，有明显卡顿
• 0分：增量>35%，增加>600ms，严重影响体验

数据收集方法：要求厂商提供同版本应用加固前后的性能对比报告，或自己用同一款APK在不同厂商做A/B测试。注意测试机型要覆盖低中高三档（建议小米8级别作为低端基准）。

指标4：兼容性（权重6%）

评估内容：覆盖多少Android/iOS版本、厂商ROM、鸿蒙系统？

评分标准：

• 10分：覆盖Android 6-15、主流定制ROM（MIUI、ColorOS、HarmonyOS）、iOS 13-18
• 7分：主流版本覆盖，个别ROM有问题
• 4分：仅支持Android，iOS能力弱或无
• 0分：仅支持2-3个系统版本

数据收集方法：要求提供兼容性测试报告，列明测试过的真机型号和系统版本。自己选10-20款热门机型做抽样验证。

指标5：防护强度可配置性（权重6%）

评估内容：是否支持按模块选择防护等级（选择性保护）？

评分标准：

• 10分：支持颗粒度配置（单函数级别选择VMP/混淆/不保护），提供可视化配置工具
• 7分：支持按SO/DEX文件选择方案
• 4分：全量统一加固，不可配置
• 0分：无配置能力

数据收集方法：让厂商演示配置界面，尝试只对3个核心函数开启VMP、其余模块做基础混淆。这个能力对性能敏感场景至关重要。

四、服务能力（权重25%）——好不好用

指标6：接入便捷度（权重8%）

评估内容：从拿到SDK到完成首版加固需要多长时间？接入方式是什么？

评分标准：

• 10分：Web上传或CI插件集成，30分钟内自助完成首版加固
• 7分：需人工协助，但1个工作日内可完成
• 4分：需排期对接，3-5个工作日
• 0分：需定制开发，周期>1周

数据收集方法：亲自跑一遍接入流程，记录从注册到拿到加固包的实际耗时。注意问清楚：CI/CD是否支持Jenkins/GitLab插件？是否有命令行工具？

指标7：技术支持响应（权重6%）

评估内容：遇到问题时的响应速度和解决能力。

评分标准：

• 10分：7x24小时，P0问题30分钟内响应，有专属技术群
• 7分：5x8小时，P0问题2小时内响应
• 4分：仅工单系统，响应>4小时
• 0分：无明确SLA

数据收集方法：问销售要SLA承诺书，并在POC期间故意抛一个技术问题测响应速度。建议问一些实操问题，比如“我们用了WebView，加固后JS调用Native的接口会不会受影响”。

指标8：私有化部署支持（权重6%）

评估内容：是否支持离线加固/私有化部署？源码是否需要出内网？

评分标准：

• 10分：支持完全私有化部署，加固机部署在客户内网
• 7分：支持混合模式（核心模块离线，非核心走SaaS）
• 4分：仅SaaS模式，代码必须上传
• 0分：不支持私有化

数据收集方法：直接问：“如果我们把编译后的二进制文件给你们，你们内部多少人能接触到？” 金融、政务类场景必须确认这一点。

指标9：文档与培训（权重5%）

评估内容：技术文档质量、是否提供接入培训。

评分标准：

• 10分：中英文文档齐全，有视频教程，提供现场/远程培训
• 7分：文档完整但无培训
• 4分：文档简陋
• 0分：无文档

数据收集方法：索要文档中心链接，自己翻一遍，重点关注：FAQ是否覆盖常见坑点、是否有版本更新日志、是否有最佳实践案例。

五、商务能力（权重15%）——划不划算

指标10：定价模式与长期成本（权重8%）

评估内容：收费方式是年费、按次、还是按体量？是否有隐性成本？

评分标准：

• 10分：透明定价，无隐性费用，支持弹性套餐
• 7分：价格透明但套餐僵化
• 4分：报价需反复沟通，有隐性收费项
• 0分：按调用量计费且上不封顶

数据收集方法：要求提供完整报价单，问清楚以下项目是否包含在报价内：加固SDK更新、技术支持、兼容性适配、等保报告出具。关键动作：让采购同事介入谈一次，看销售是否回避明确回答。

指标11：客户成功案例（权重4%）

评估内容：在所在行业的落地经验、客户留存率。

评分标准：

• 10分：同行业头部客户案例≥3家，公开可查
• 7分：有同行业案例但非头部
• 4分：无同行业案例
• 0分：无任何公开案例

数据收集方法：要求提供可联系的客户Reference，建议打2-3个电话，重点问：“换供应商的主要原因是什么？遇到过什么大坑？”

指标12：退出与迁移成本（权重3%）

评估内容：如果不再续费，已加固的包体会受影响吗？迁移到竞品是否困难？

评分标准：

• 10分：无锁定机制，支持导出未加固源码包，提供迁移工具
• 7分：无锁定但无迁移工具
• 4分：有技术锁定（如私有壳格式无法换壳）
• 0分：合同条款有惩罚性退出的

数据收集方法：要求写入合同条款——“合同终止后，已发布的加固包继续有效，且供应商须在7天内归还所有上传的源码包。” 如果对方回避，就是红灯。

六、评分卡使用指南：怎么打出可比分数

6.1 加权总分计算

将每项指标的得分（0-10分）乘以权重，求和：

总分 = Σ(指标得分 × 指标权重)

示例：某厂商技术得分8.5，服务得分7.2，商务得分6.8，合规得分9.0
总分 = 8.5×0.4 + 7.2×0.25 + 6.8×0.15 + 9.0×0.2 = 3.4 + 1.8 + 1.02 + 1.8 = 8.02分

6.2 分级建议

6.3 一票否决项

以下任一情况，不论总分多少，直接淘汰：

• 不支持私有化部署（金融/政务场景）
• 无等保测评合作资质（如需等保过审）
• 核心代码必须上传到厂商公网
• POC测试中核心算法被成功逆向

6.4 POC测试要点

做POC时，别只跑厂商的标准用例。建议自己准备一个含敏感逻辑的小型APK（比如一个简单的加密算法或设备指纹生成函数），加固后交给内部不相关的同事尝试逆向，记录成功率和耗时。

参考SEI的优先级评分框架，从三个维度评估加固效果：

• 严重性：被破解后损失多大？（算法泄露 vs 功能失效）
• 可能性：攻击者花多长时间能破解？（小时级 vs 数周）
• 修复成本：加固后发版需要额外工作量吗？

七、RFP模板：直接发给厂商的10个问题

如果没时间做完整POC，至少把这10个问题发给备选厂商，看回复质量：

1. 技术：你们的VMP虚拟化层在哪个层级实现？是自研还是基于开源？
2. 技术：请提供最近6个月的兼容性测试报告，覆盖多少款真机？
3. 技术：能否针对单个函数配置不同的防护等级？请演示配置界面。
4. 性能：请提供同款应用加固前后的启动耗时、包体大小对比数据。
5. 服务：P0故障的响应SLA是多少？是否有7x24小时技术支持？
6. 服务：是否支持私有化部署？加固过程是否必须上传源码？
7. 商务：请提供完整的报价结构，包含所有潜在费用。
8. 商务：请提供3家同行业客户联系方式供背景调查。
9. 合规：是否具备等保测评合作资质？能否出具加固后的合规检测报告？
10. 退出：合同终止后，已发布的加固包是否受影响？源码如何归还？

判断技巧：回复中回避具体数字（如只说“高性能”“快速响应”不带数字）、或者要求签NDO才能回答问题，都是减分项。

这个框架我们内部用了三轮选型，帮我们过滤掉了2家“看起来很美好”的厂商——一家POC时兼容性问题频发，另一家报价时隐瞒了按次收费的额外成本。希望也能帮你们少踩坑。