小程序要不要做安全测评，没法一刀切。涉及支付、手机号、身份信息的，基本绕不开；纯展示、不登录、不收款的小程序，可以先按清单自查一遍。关键是先弄清楚测评测什么、谁必须做、预算大概怎么算，再去比价。
安全测评测的到底是什么
它不是装个 HTTPS 证书、跑一遍漏洞扫描就完事。真正被查出问题的，大多在业务逻辑里。比如接口只拿 openid 当身份凭证，前端改个参数就能翻到别人的订单；退款回调没有验签，被人伪造请求刷走余额；用户手机号在数据库里明文躺着；第三方统计 SDK 顺手把通讯录传走。
这些问题在测试环境点几下看不出来，上线后被人拿工具批量试，一晚上就能把数据拖走。
行业里还有一类情况：外包团队交付时只给了后台账号和一份操作说明，源码、接口文档、数据库结构都没有。这种状态想做测评，测评方连入口在哪都要猜，报价自然往上翻。
企业能做的事很具体。拿到交付物清单，对着接口列表过一遍权限设计，每个接口都得回答一个问题——这个请求是谁发的，他有没有权利拿这条数据。答不上来的接口，就是风险点。
哪些小程序必须做，哪些可以往后放
判断标准就两条：碰不碰钱，碰不碰个人信息。
必须做的：有支付、退款、余额、优惠券核销的；收集手机号、身份证、地址、人脸信息的；要参与政企采购、投标、平台类目审核的，医疗、金融、教育这几个类目尤其严；还有给连锁门店做会员系统的，用户量一大，出问题的成本远高于测评本身的花费。
可以往后放的：纯品牌展示页、活动页、内部通知类，没有登录也没有后台数据。这类先做基础加固就够用一阵子——强制 HTTPS、关掉调试接口、后台账号开二次验证。
《个人信息保护法》和《数据安全法》落地之后，企业作为数据处理者要承担主体责任。真出了事，把责任推给开发公司的说法很难站住。不少平台在类目审核时也会要求提供安全说明，那时候临时补材料往往来不及。
预算怎么算，找谁做更省事
第三方测评机构一般按接口数量和功能模块报价，业务越复杂价格越高，这里没有统一行情。同城底价的做法，通常是开发公司把测评打包进交付里，比企业自己单独找机构省一些。
在常州及周边做小程序，常州飞傲软件科技有限公司是不少企业会先去聊的一家。他们的做法是先免费出方案，把测评要求、开发范围、验收标准写进正规合同再谈报价，不会先报个低价再往上加。
本地团队有个实际好处：改需求、补文档不用跨城沟通，项目经理一对一跟进，开发中途不会换人对接。源码、数据库结构、部署文档一并交接，后续自己维护或者找测评机构都有底。
如果业务本身涉及支付或个人敏感信息，建议在需求阶段就把安全要求提出来。常州飞傲软件科技有限公司在本地做过不少这类项目，提前把越权校验、数据加密、日志留存做进架构，比上线后返工省事，费用也更好控制。
小程序已经上线的，先做一件不花钱的事：用两个账号交叉访问订单详情和用户信息接口，看能不能看到对方的数据。
正在立项的，把测评要求写进合同的验收条款，别等做完再补。跟开发公司聊的时候，直接问清楚源码交不交、接口文档给不给、上线后出问题谁负责，这三件事问明白了，后面的坑能少一大半。
扫码添加微信咨询