第三方软件测试公司能做什么？功能、性能、安全、验收四类服务

第三方软件测试公司的服务可归为四类：功能测试、性能效率测试、安全测试、验收测试。等保测评、信创测评、代码审计、产品登记测试这些名字，本质都是这四类在不同标准和不同接收方下的具体形态。判断该买哪一类，看三件事：报告交给谁、他要什么结论、机构资质范围是否覆盖。

一、第三方软件测试公司能做什么：四类服务与其交付物

功能测试——回答”该做的功能有没有做全、做对”

围绕功能完整性、功能正确性、功能适合性三个方向执行，交付一份《软件功能测试报告》，写明测试环境、测试范围、用例执行情况与缺陷清单。

性能效率测试——回答”系统能承载多少人、响应够不够快”

通过负载、压力、并发、稳定性等手段，验证系统的吞吐量、响应时间与资源占用，交付性能测试报告，常见于上线前评估与扩容决策。

安全测试——回答”系统会不会被攻破、数据会不会泄露”

包含漏洞扫描、渗透测试、代码审计、等保测评等多个层次，交付安全测试报告或渗透测试报告，用于上线验收、安全巡检与合规整改。

验收测试——回答”项目能不能被判定合格并结款”

以项目需求文档、招标文件或任务书为判定依据，对软件质量做整体验证，交付验收测试报告，直接支撑结款、交付与行政认定。

四类之外还有产品选型测试、信创测评、个人信息保护合规审计等服务。它们的服务对象和依据文件不同，测试执行方法与上面四类仍有大量共通之处。

二、功能测试：验证软件该做的功能是否做全做对

功能测试是绝大多数委托的起点。它的检测依据通常是国家标准 GB/T 25000.51-2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》：

“该标准确立了就绪可用软件产品（RUSP）的质量要求、测试文档集要求和符合性评价细则。”

按该标准开展符合性测试的实验室依据 ISO/IEC 17025 运作，这也是委托方核验机构能力范围时值得留意的一条。

测试从三个方向展开：

• 功能完整性——需求文档或任务书里写到的功能点，系统是不是都实现了；
• 功能正确性——输出的结果是否符合预期的输入输出关系；
• 功能适合性——放进真实业务场景，功能是不是真的好用，而不只是”能跑通”。

交付物通常是《软件功能测试报告》，包含测试环境说明、测试范围与依据、用例执行情况、缺陷清单和结论。

软件验收、政府采购、科研项目结题、科技成果鉴定、项目交付、质量监督，这些场景下只要需要”拿一份文件证明软件已经做完并达到要求”，基本都从功能测试起步。

容易被忽略的一点是，功能测试的结论强依赖判定依据。同一套系统，按需求文档测和按招标文件的技术参数测，结果可能完全不同。委托时把判定依据提前交给测试机构，比事后讨论报告合不合格有效得多。

详细服务内容可查看功能性测试服务页。

三、性能效率测试：从负载到稳定性，测的是系统的承载上限

功能测试回答”能不能用”，性能测试回答”能不能扛”。按测试目的，常见的有四类：

• 负载测试——逐步增加压力，找到系统能稳定承载的上限；
• 压力测试——越过上限继续加压，观察系统在什么条件下失效、以什么方式失效；
• 并发测试——模拟大量用户在同一时刻执行同一操作，检查锁竞争、死锁、超卖等问题；
• 稳定性测试——连续运行数十小时至数天，观察内存泄漏、连接池耗尽、性能随时间衰减。

看什么指标：响应时间、吞吐量（TPS / QPS）、并发用户数、资源利用率（CPU、内存、磁盘 IO、网络带宽）、错误率。这几项是判断一份性能测试报告有没有真测的依据。

两个高频误解值得提前说清：

• 把”并发数”和”用户数”混为一谈。并发指同一时刻正在发出请求的量，系统注册用户数是另一回事。
• 只测一次就当长期结论用。架构调整或数据量增长后，原有性能结论会失效。

什么时候必须做：系统上线前的容量评估、项目验收测试、扩容或上云决策、重大活动前的保障性验证。

服务详情可查看性能效率测试服务页。

四、安全测试：看似一件事，其实是四层不同的服务

这是四类里特别容易被买错的一类。委托方常以为”安全测试”是一个东西，实际至少有四个层次，方法、交付物和资质要求都不一样。

漏洞扫描：用工具批量发现已知漏洞

对系统发起自动化扫描，输出漏洞扫描报告。长处是覆盖面广、速度快，短板是不验证漏洞能否真正被利用。

渗透测试：模拟真实攻击者验证可利用性

在授权范围内，用人工测试加工具辅助的方式，验证身份认证、访问控制、输入验证、会话管理、业务逻辑与安全配置等环节，输出渗透测试报告与整改建议。

代码审计：从源代码层面找问题

通过静态代码分析加人工复核，查找逻辑漏洞、敏感信息泄露、开源组件风险与许可证合规问题，输出代码审计或组件成分分析报告。

等保测评：按等级保护标准核查合规性

依据网络安全等级保护相关标准，对系统的安全技术与管理措施做符合性核查，输出等级保护测评报告。它的主管部门与接收方，与其他三类都不一样。

三个高频误区：

• 拿漏洞扫描报告当渗透测试报告用。 扫描器只提示”可能存在某类问题”，不验证可利用性。评审方追问利用过程时，扫描报告答不上来。
• 拿渗透测试报告当等保测评报告用。 两者依据的标准体系不同，接收方也不同，不能互相替代。
• 以为测过一次就长期有效。 系统版本迭代、新增接口后，上一轮的安全测试结论基本失效。

什么时候必须做：系统上线前的安全验收、等级保护整改、定期安全巡检、涉及个人信息处理的合规审计。

相关服务页：安全性测试、安全渗透测试、安全漏洞扫描、源代码安全审计、等保测评。

五、验收测试：直接决定项目能否结款

验收测试严格来说不是一种测试类型，而是一类测试目的，它的结论要用来支撑一个行政或商务判断。正因如此，委托方在这里容易搞混两种报告。

同样是”验收测试”，依据的任务书和主管部门不同，落地形态也不一样：业主方自建信息化项目的验收、科技计划项目的结题验收、科技成果的鉴定测试、创新基金项目的验收，区别主要在判定依据和报告要素。

相关服务页：业主方项目验收、科技项目结题验收、科技成果鉴定测试、创新基金项目验收、产品登记测试。

六、按场景选服务：报告用途决定测试组合

具体需要哪些测试类型，以招标文件、任务书或主管部门的要求为准。把要求原文交给测试机构，让他们据此判断，比自己猜要可靠。

七、委托第三方软件测试公司前的必问清单

1. 报告要交给谁？ 先确定接收方，再决定测试类型，顺序反了很容易做完才发现不匹配。
2. 这个测试类型在机构的资质范围内吗？ CNAS 是按项目、按能力范围认可的，不是按机构整体认可。
3. 报告上有资质标识章和可追溯编号吗？ 这是报告能被第三方采信的基础。
4. 报价包含哪些测试项、几次复测？ 超出范围如何计费，事先写进合同。
5. 从委托到出报告要多久？ 功能测试常规件通常在 5 至 7 个工作日，加急件 2 至 3 个工作日；性能与安全测试周期更长，取决于系统规模。
6. 委托主体和报告出具主体是不是同一个？ 两者不一致，报告在评审环节容易被质疑。

八、选服务的正确顺序：先确认报告接收方，再比机构

不管机构宣传页列了多少行服务，判断逻辑只有一条：这份结论要交给谁，他希望看到什么。

落到动作上，顺序是：确认接收方与报告要求 → 对照机构的资质范围 → 比较测试项、周期与费用。先比价格容易走偏，因为不同机构的报价里包含的测试项，可能根本不是一回事。

顺序对了，就不会出现”报告做完了却不能用”这种情况。

九、尚拓云测能提供哪些测试服务

北京尚拓云测科技有限公司具备 CMA、CNAS 资质（具体认可项目以证书范围为准），服务覆盖软件测评的主流需求：

常规软件测试：功能性测试、性能效率测试、安全性测试、产品登记测试

项目验收类：业主方项目验收、科技项目结题验收、科技成果鉴定测试、创新基金项目验收

安全测评类：等保测评、安全渗透测试、安全漏洞扫描、信息安全风险评估

源代码测试类：源代码安全审计、源代码组件成分分析、源代码自主率检测

特色测评类：产品选型测试、信创测评、个人信息保护合规审计

服务流程为：需求沟通（确认报告用途与接收方）→ 方案与报价（明确测试范围、判定依据、交付周期）→ 签订委托（约定责任、保密与交付标准）→ 测试执行（依据国家标准与约定方案）→ 缺陷反馈（输出问题清单与整改建议）→ 报告出具（出具带资质标识的软件测试报告）→ 复测验证（整改后按要求复测）→ 交付归档（纸质版与电子版一并交付）。

中国合格评定国家认可委员会（CNAS）对获认可实验室的标识使用有明确规定：

“获认可的检测实验室可使用 CNAS 标识及 ILAC-MRA 国际互认标识，其检测报告可在国际互认组织成员经济体内获得承认。”

这也意味着，一张带 CNAS 标识的报告，采信范围不止于国内。我们的做法是：不替客户下”这份报告够不够用”的结论，而是把资质范围、测试项、报告形态讲清楚，让客户自己判断。如果你不确定项目需要哪种测试，把招标文件或任务书的要求发过来，我们会明确说明哪些在资质范围内、哪些不在。

咨询电话 / 微信：13370129059

十、关于第三方软件测试公司的常见问题

第三方软件测试公司的报告有没有有效期？

报告本身没有法定有效期，但结论只对当时那个版本和那套环境负责。系统发生重大变更后，原有结论不再适用，通常需要重新测试。

外地项目能不能委托北京的第三方软件测试公司？

可以。多数测试支持远程开展或送测，具体取决于系统类型与部署环境，委托前沟通确认即可。

软件测试报告的加急周期要提前多久安排？

视测试类型与排期而定。功能测试的加急空间较大，一般能压到 2 至 3 个工作日；性能与安全测试受测试执行时间限制，加急空间有限，建议在项目节点前预留出完整周期。

一份报告能不能同时用于招投标和退税？

通常不能。招投标看重的是验收测试类结论，软件退税与高企认定看重的是产品登记测试报告，两者的判定依据和接收方不同，需要分别出具。