正规第三方机构做软件指标测试，会覆盖性能安全全项吗？

先给结论：不会。而且敢拍胸脯说“全项覆盖”的机构，你反而要多问两句。

这不是推脱，是行业常识。“指标测试”本身不是标准产品，没有一份放之四海而皆准的清单。正规机构做的，永远是你合同里写的那几项，写进去的测，没写的自然不测。所谓“全项”，在报价单上约等于空白授权，进场之后每多一个场景都是一张变更单。最后结算数字比预算高出一大截，双方都不舒服。

指标测试

一、指标测试测什么

软件指标测试，本质上是拿量化数据来回答“系统到底跑得怎么样”。它依据的是国标GB/T 25000.51-2016，这个标准把软件质量拆成了八大特性：功能性、性能效率、兼容性、易用性、可靠性、信息安全性、维护性、可移植性。

注意，是八大，性能和安全只是其中两个维度。一个完整的指标测试，理论上可以覆盖全部八个维度，但实际操作中，测哪几个、测到什么深度，完全取决于你的项目需求。

二、为什么不是“默认全包”？

因为“全包”意味着成本翻倍，而你未必需要。

一个内部使用的OA系统，用户就几十号人，你让它做高并发性能测试，测出来TPS再高也没有实际意义。一个不涉及敏感数据的展示类网站，你让它做深度渗透测试和代码审计，钱花了，风险本身就不大。

正规机构的做法是：先了解你的系统类型、业务场景、验收要求，再和你一起确定测试范围。 你合同里写的是“功能测试”，机构就只测功能；你合同里写的是“功能+性能+安全”，机构才三项都上。机构不会“自作主张”帮你多测，因为多测的部分，你要多付钱。

三、那客户为什么会觉得“应该全包”？

第一，把“指标测试”和“验收测试”搞混了。验收测试的覆盖面通常更广，因为要验证合同约定的全部技术指标。而指标测试是一个更聚焦的工具，你让它测什么，它就测什么。

第二，被不专业的销售忽悠了。有些机构为了签单，报价的时候说得天花乱坠，什么“全项覆盖”“啥都给你测”。合同签了，执行的时候只跑了最简单的功能测试，性能和安全随便扫两下就交差。你问他为什么没测全，他说“合同里没写要测啊”。

所以问题的关键不是“正规机构会不会全包”，而是“你在合同里写清楚了要测什么吗”。

四、怎么确保你要的那几项，真的被覆盖了

较为省事的做法，是把招标文件或需求规格里的指标，拆成一张表：

几个场景、多少并发、成功率阈值、P95多少秒、要不要长压、越权和注入测不测、报告用途是什么（内部参考/项目验收/招投标材料）。把需求列举出来，发给我们一看，就可以清晰透明的报价，绝不多收一分钱。

另外有三条建议直接写进合同：

软件测试报告

1.复测次数和口径（含1次免费回归，是逐条验证还是重跑扫描）；

2.变更单价（新增模块怎么算，零碎追加设个门槛）；

3.报告用途一次定死（中途从“不要章”改成“要CNAS标识”，而这家机构的认可范围附件里没有对应标准，就只能换人重做，这种返工的成本，通常超过前面所有省下来的钱）。

最后一句实话

范围不是越小越好，为了省几千块把安全测试砍掉，最后因为一个水平越权被审计打回、重新走安评，代价往往是三周工期加上双份费用。这个账我们见过太多次。

比较合理的做法是：核心路径全测、边缘模块抽样、排除项书面确认。把钱花在评审一定会问到的地方，而不是花在“看起来更完整”的地方。

标签：性能测试、安全测试