项目验收只做功能测试不做安全测试，评审专家会不会打回来？
这个问题可以给你一个明确的判断：绝大多数情况下，只做了功能测试没做安全测试，评审专家大概率会打回来。 但"大概率"三个字背后有具体的适用边界，下面按项目类型分层讲清楚。
一、先给结论：功能测试和安全测试在验收中的"地位"不对等
功能测试和安全测试
很多人以为功能测完了、系统能跑了，验收就差不多了。但在评审专家眼里，功能测试和安全测试根本不是"二选一"的关系，而是功能决定能不能用，安全决定敢不敢用。功能测试不达标，结论通常是"整改后复测"，给你改的机会；安全测试发现高危漏洞，结论往往是"不予通过"，直接打回来。
国标GB/T 25000.51-2016将信息安全性列为软件质量八大特性之一，与功能性并列，在验收测试中属于必须评估的质量维度。
二、哪些项目不做安全测试会被打回来？
1.政务/国企信息化项目，100%会被打回
这类项目不做安全测试，连验收材料都交不齐。国务院办公厅印发的《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）第二十五条明确规定：项目建设单位申请验收时，应当一并附上安全风险评估报告等材料。《政府采购法》第四十一条也规定，大型或者复杂的政府采购项目，应当邀请国家认可的质量检测机构参加验收工作。
实际案例：某企业做政务信息化项目，功能全部上线，但验收时没有第三方安全测试报告，只有内部自测记录。专家一句话打回："内部测试无权威性，无法证明系统安全合规。"结果重新补测、补资料，验收推迟了整整2个月。
2.金融/医疗/能源等高敏行业，强制要求
证监会发布的《证券期货业软件测试指南 软件安全测试》对验收测试中的安全测试流程、技术做了明确规范，属于行业强制要求。医疗系统涉及患者隐私数据，依据《个人信息保护法》和等保2.0要求，安全测试同样是验收的前置条件。
3.涉及等保定级（二级及以上）的系统，法定强制
根据《网络安全法》第二十一条，定级为二级及以上的信息系统，必须开展等级测评并向公安机关备案，其中第三级信息系统应当每年至少进行一次等级测评。等保测评本身就包含应用安全、数据安全等维度的检测，没有安全测试结果，等保测评也过不了。
4.普通企业商业项目，风险极高，强烈建议做
虽然法律没有强制要求所有企业项目都必须做安全测试，但从风险管控角度，不做安全测试就上线，一旦出事后果远比测试成本高。
三、安全测试到底在验收中扮演什么角色？
可以把验收测试理解为两道关卡：
1.功能测试回答的是"系统能不能完成业务目标"，流程跑得通、数据算得对、页面不报错。
2.安全测试回答的是"系统上线后会不会被攻破"，有没有SQL注入漏洞、用户数据是否加密传输、权限控制是否存在越权风险。
两道关卡是串联关系，不是并联关系。功能全过了但安全有高危漏洞，验收照样不通过。
我们之前遇到过一个案例：某企业ERP系统功能测试56个用例全部通过，性能指标也达标，结果安全渗透测试发现后台管理接口存在未授权访问漏洞，攻击者可以不登录直接查看全公司员工的薪资数据。验收专家组当场判定不通过，整改加复测又多花了三周，项目延期上线。
四、安全测试具体测什么？
验收阶段的安全测试通常包含以下几个核心维度：
1.漏洞扫描：用自动化工具对系统做全面筛查，发现弱密码、未授权端口、过期补丁等基础问题
2.渗透测试：模拟真实黑客攻击，验证漏洞的实际可利用性，发现扫描工具识别不了的业务逻辑漏洞
3.代码审计：对自研系统源码做安全审查，从源头发现SQL注入、XSS、不安全对象引用等编码层面问题
4.安全配置核查：逐项检查操作系统、数据库、中间件的安全基线配置
5.数据安全检测：验证敏感数据的加密存储、传输保护、备份恢复机制
安全测试报告
具体到GB/T 25000.51-2016标准，信息安全性包含六个子特性：保密性、完整性、抗抵赖性、可核查性、真实性、依从性，验收时需要逐项验证。
五、实操建议：怎么避免被专家打回来？
第一，回到源头文件找答案。
翻开你的项目合同、招标文件、需求规格说明书，看里面对安全测试有没有明确要求。如果写了"需通过安全检测""需出具安全测评报告"，那安全测试就是必选项，没有商量余地。
第二，提前规划，别等到验收前才想起来。
安全测试（尤其是渗透测试和代码审计）通常需要5-10个工作日，如果发现问题还需要整改复测，至少预留1个月的时间窗口。建议系统开发完成后就同步启动安全测试，和功能测试并行推进。
第三，选有资质的第三方机构。
验收用的安全测试报告要求盖CNAS章，选机构时上国家认监委官网核查资质和能力范围。
第四，留存完整的过程记录。
测试方案、测试用例、漏洞清单、整改记录、复测报告，这些过程文件在验收时专家都会逐一核查，缺任何一环都可能被质疑测试的真实性。
一句话总结：功能测试证明你的系统"能用"，安全测试证明你的系统"敢用"。在当前的监管环境下，缺了安全测试的验收报告，就像体检只查了身高体重没查血常规，评审专家不会签字放行。
方便说一下项目类型吗？比如是政务系统、企业内部系统还是其他类型，我帮你判断一下不做安全测试被驳回的具体风险有多大。
标签：安全测试、项目验收