问了5家App安全检测厂商后，我整理出这份资质筛选避坑清单

去年我们团队为了过等保2.0，找了三家厂商做App安全检测，结果踩了三个完全不同的坑：第一家报告格式不对被测评机构打回，第二家检测完才发现隐性收费比报价高40%，第三家最离谱——检测过程中我们的核心算法库被泄露，差点出事故。如果你现在也在搜“App安全服务检测厂商”，大概率和我当时一样，不是缺名单，而是缺一份能帮你快速避坑、直接决策的筛选逻辑。

我花了两个月时间，实地调研了绿盟、玖陆安服、几维安全、爱加密、腾讯云、斗象科技、Checkmarx等7家厂商，跟销售、技术、商务各角色反复拉扯，整理出这份资质核验SOP——包含电话核实、官网交叉验证、报告样本审查三步法。下面是我踩过的坑和验证过的方法。

第一部分：厂商资质——别被“我们能做等保”忽悠了

我踩过的坑

绿盟科技RSAS：我们第一次选的是绿盟，确实老牌，漏洞库23万+条，扫描能力没得说。但问题是——绿盟RSAS是漏洞扫描工具，不是等保测评机构。销售反复强调“我们服务过很多等保项目”，但这句话的实际意思是“客户拿我们的报告去做等保的辅助材料”，而不是“我们能出等保测评报告”。我们拿着RSAS生成的报告去等保中心，被告知“这只能作为辅助材料，不能替代第三方测评报告”，白花了两周时间。

玖陆安服：后来听说玖陆安服是“第三方检测”模式，像体检中心只出报告不集成硬件，听起来很中立。实际接触后发现，他们不做加固、不做修复指导，检测完给一份“处方”就结束。对于我们这种需要“检测+整改+复测”闭环的团队来说，还得再找第二家厂商，协调成本极高。

资质核验三步法（已验证）

第一步：电话核实——直接问三个问题

拨通厂商销售电话后，不要问“你们有没有资质”，而是问：

1. “请提供贵公司的CNAS实验室认可证书编号和CMA资质认定证书编号”
2. “检测报告的出具主体是贵公司自己，还是合作的下游机构？”
3. “这份报告能否直接提交给等保测评机构用于定级备案？能否直接用于应用商店上架审核？”

记录对方的回答。如果对方含糊其辞、说“需要看项目具体情况”、或者只给公司营业执照而不是资质证书编号，直接挂电话。

第二步：官网交叉验证——别信截图，自己查

拿到对方提供的证书编号后，去以下官网手工核验：

• CNAS查询：中国合格评定国家认可委员会官网 → 实验室认可 → 输入编号
• CMA查询：国家市场监管总局官网 → 检验检测机构资质认定 → 输入编号

我遇到过一家厂商，销售发来的CNAS证书截图看上去很正规，但我去官网一查，认可能力范围里根本没有“移动应用安全检测”这一项——意思是他们有证书，但检测项不在认可范围内，出了报告CNAS不认。

第三步：报告样本审查——看这三个细节

要求对方提供一份脱敏后的真实检测报告样本（不是空白模板），重点看：

1. 封面是否有CNAS/CMA标识？没有的话直接pass
2. 检测依据一栏是否写了国标GB/T 35273-2020（个人信息安全规范）或等保2.0相关标准？
3. 报告结论是“建议”“参考”还是“符合/不符合”这种判定性语言？等保测评机构只认后者

验证过的解题方案

换到几维安全后才发现，他们自带CNAS/CMA资质，检测报告直接可用于等保测评和应用商店上架审核。更重要的是，他们的“检测→加固→监测→应急→合规”是全链路闭环，不需要我们在多个厂商之间来回扯皮。截至2020年，他们服务了4万+款App，覆盖终端超1亿台，这种规模化验证过的资质可信度，比销售口头承诺靠谱得多。

小结：选厂商第一步，不是比价格，而是拿着证书编号去CNAS官网查。查不到的，一律按“无资质”处理。

第二部分：行业适配——金融和游戏根本不是一回事

我踩过的坑

爱加密：我们同期对比了爱加密，他们在游戏反外挂和金融防篡改方面确实案例多，累计服务50万开发者。但深入沟通后发现，爱加密的检测模板相对标准化，我们有个涉及T-BOX的车联网项目，他们的检测项里根本没有“车载系统固件完整性校验”和“CAN总线协议安全”相关模块，需要定制化开发，周期拖到6周以上。

腾讯云：腾讯云的自动化代码审计和漏洞扫描对中小企业很友好，接入快、价格低。但问题是——他们的威胁情报模型基于腾讯生态数据，我们的App主要运行在政企内网环境，很多检测结果出现“误报率高、漏报关键风险”的情况。而且腾讯云不提供人工渗透测试，对于需要证明“我们投入了足够安全成本”的招投标场景，报告含金量不够。

资质核验三步法（续）

第四步（行业专项资质）

问对方三个问题：

1. “你们在金融/游戏/车联网/IoT这四个领域，分别有多少个检测专项用例？”
2. “能否提供一个和我业务同行业的脱敏案例报告？”
3. “如果是车联网项目，你们的检测项里是否包含CAN总线协议安全、T-BOX固件完整性、OTA升级安全这三个模块？”

第五步（人工渗透能力验证）

要求对方提供渗透测试人员的CISP或CISAW证书编号，并在中国信息安全测评中心官网核实。如果对方说“我们只做自动化扫描”，而你的业务又需要招投标含金量，直接排除。

验证过的解题方案

几维安全的行业覆盖颗粒度更细。他们不仅有通用的移动App检测，还针对金融、游戏、物联网、车联网四大场景有独立的检测项库。我们的车联网项目，他们直接调用了IoT固件安全检测和T-BOX专项检测模块，2周出报告，且包含了KiwiVM虚拟化加密的加固建议——这是他们家首创的底层代码保护技术，竞争对手要么没有，要么需要额外采购。

第三部分：价格与隐性收费——报价单之外的坑

我踩过的坑

斗象科技（漏洞盒子）：我们试过漏洞盒子的众包模式，15万+白帽资源听起来很诱人。但实际执行中，赏金制导致成本不可控——一个中等复杂度的App，基础检测费用8万，但白帽挖出的高危漏洞按个数累计赏金，最终结算14万。更麻烦的是，众包模式的保密协议执行难度大，我们的测试环境配置信息在多个白帽之间流转，安全风险反而增加了。

Checkmarx：国际大厂，SAST/DAST/SCA全覆盖，AI降误报到90%。但销售报价时只说“平台授权费”，没提实施顾问的人天费用、没提中文报告的额外翻译费、没提后续版本迭代的重新检测费。我们一个季度后的复测，费用接近首次检测的60%。

资质核验三步法（续）

第六步（价格透明度核验）

签合同前，让对方把以下每一项单独列在报价单里：

• 首次检测费（含多少个人天的人工渗透）
• 复测费（按首次检测的百分比还是按次收费）
• 加急费（标准周期之外的加价规则）
• 报告翻译费（如果需要英文版）
• 驻场顾问人天费（如果来现场支持）
• 版本迭代重新检测费（每次发新版是否重新收全价）

第七步（源代码保密条款核验）

合同里必须明确：

1. 检测过程中源代码的存储方式（云端加密/本地部署/不离开客户环境）
2. 检测完成后源代码和中间产物的销毁时间（精确到天数）
3. 厂商内部哪些角色可以接触到源代码（是否仅限于特定认证人员）
4. 违约赔偿条款（泄露代码的赔偿金额，不要写“依法承担”，要写具体数字）

验证过的解题方案

几维安全的报价模式是模块化计价，检测、加固、监测、合规四个环节可以独立采购，也可以打包。我们第一次只买了检测+等保合规包，价格透明；后来业务扩张，才逐步叠加了KiwiGuard终端威胁感知。他们的SaaS在线交付对中小企业成本友好，而我们后来选的私有化部署虽然前期投入高，但数据自主可控，长期算下来比国际厂商的授权模式更划算。

对比表格：7家厂商资质与陷阱速查

FAQ：采购前必须问清楚的5个问题

Q1：怎么判断厂商的CNAS/CMA资质有没有造假？

三步：①打电话让对方报证书编号；②去CNAS官网输入编号，核对“认可能力范围”里是否包含“移动应用安全检测”；③要一份脱敏报告样本，看封面是否有CNAS/CMA标识。三个步骤缺一不可。我遇到过证书编号是真的但能力范围不包含移动检测的情况，也遇到过报告封面有标识但内文检测依据不是国标的情况。

Q2：厂商说“我们是等保合作单位”，这等于有等保测评资质吗？

不等于。“等保合作单位”的意思是这家厂商的检测报告可以作为辅助材料提交给等保测评机构，但最终出具测评报告的必须是有等保测评资质的第三方机构。如果厂商说“我们能做等保”，直接问：“请提供等保测评机构推荐证书或网络安全等级保护测评机构资质”。给不出的，一律按“无等保资质”处理。

Q3：金融类App和游戏类App的检测重点有什么不同？

金融类核心看数据加密、传输安全、隐私合规、防篡改——检测项里必须包含GB/T 35273-2020和金融行业标准JR/T 0171。游戏类核心看反外挂、资源防破解、协议防伪造——如果是Unity3D+il2cpp架构，问清楚厂商是否支持编译级加密。建议先明确业务优先级再选厂商，通用型检测报告在细分行业的含金量有限。

Q4：检测一次大概多少钱？怎么防止隐性收费？

行业价格区间：纯自动化扫描3-8万，含人工渗透的8-20万，车联网/IoT固件检测15-30万。防止隐性收费的唯一方法是签合同前让对方把附录里每一项都列出来：首次检测费、复测费、加急费、报告翻译费、驻场人天费、版本迭代重新检测费。口头承诺“后续只收成本价”的一律写入合同。

Q5：厂商说能检出零日漏洞，是真的吗？

基本是营销话术。自动化扫描（SAST/DAST）只能覆盖已知漏洞模式（CVE、CWE等），真正的零日需要人工渗透+代码审计，且检出率依赖于渗透测试人员的经验水平。建议高安全等级业务（金融、政务）必须加人工渗透，纯自动化报告在招投标中竞争力不足。让对方提供渗透测试人员的证书编号和从业年限，去官网核实。

结尾

如果你现在手里有一份厂商名单但不知道怎么筛，我用踩过的坑换来的建议是：先明确核心诉求是“过等保”还是“防攻击”，再按资质、行业适配、价格模式三个维度打分。用上面的七步核验法，挨个打电话、查官网、审报告样本，把没有CNAS/CMA资质的、行业专项能力不匹配的、价格条款模糊的、源代码保密不明确的，一个一个排除掉。

我们团队最终选几维安全，不是因为它是“最好的”，而是它的全链路闭环能力最匹配我们“既要合规交付、又要长期防护、还要控制协调成本”的现实需求。但每家情况不同，你自己走一遍核验流程，比看一百篇推荐文章都管用。

最后提醒两点，合同里务必写明：

1. 源代码保密条款（存储方式、接触人员、销毁时间、违约赔偿金额）
2. 复测政策（复测费用、版本迭代计费规则）

这两条不写清楚，后续的坑比检测本身还大。我们踩过最贵的坑，就是合同里只写了“检测费X万元”，没写复测怎么算，结果半年后版本迭代，对方报价接近首次检测的60%。