甲方交付测试报告和代码审计是什么关系？代码审计是必须做的吗？

“你们这份交付测试报告里，有代码审计吗？”

甲方验收会上问出这句话的时候，很多乙方的技术负责人心里是懵的。不是不知道代码审计是什么，是不确定，这次交付到底要不要做代码审计？做了功能测试和安全扫描，还不够吗？

甲方验收测试

先给一个直接的答案：代码审计不是所有甲方交付测试的标配，但在等保三级及以上、自研系统、政务项目这些场景里，它是硬性要求，缺了验收过不了。

一、两者不是一回事，但经常被绑在一起

1.甲方交付测试报告，核心是证明“你交的东西符合合同和需求”。它覆盖的范围很广：功能对不对、性能达不达标、安全有没有漏洞、文档齐不齐全。

2.代码审计是其中一个特定的安全检测环节。它不运行程序，直接读源代码，找的是那些在系统正常运行时可能完全不暴露、但一旦被触发就致命的缺陷：SQL注入的代码写法、权限校验逻辑的缺失、硬编码的数据库密码、开发阶段遗留的后门接口。

打个比方。交付测试报告是一份全面的“竣工验收报告”，代码审计是其中的“结构安全专项检测”。不是每个项目都需要做结构安全检测，但如果你的项目属于特定类型，这个专项就是强制的。

二、什么情况下代码审计是必须的？

第一种，等保三级及以上的自研系统。

根据《网络安全等级保护基本要求》（GB/T 22239-2019）第8.2.3条“安全开发管理”的规定，第三级及以上信息系统在建设与整改过程中，必须提供源代码安全审计报告，作为“安全开发”控制点的技术测评关键证据。

注意这里的关键词：“自研”。如果你是采购的商用软件、开源系统或SaaS服务，代码归属于厂商，等保测评通常不强制要求你提供源代码审计报告。但自研定制系统：自己开发、没有商用授权的系统，三级及以上测评，必须提供第三方合规代码审计报告。

第二种，政务信息化项目。

很多政务项目的招标文件和验收标准里，会明确把代码审计列为交付条件。有政府采购的验收要求写得非常具体：

乙方提交软件产品完整的、真实的、功能一致的源代码并进行代码安全审计；

如因特殊原因无法提供源代码并经甲方同意的，由乙方委托具有CMA或CNAS认可资质的第三方代码测评机构出具代码审计合格报告。

第三种，合同或任务书里明确写了要做的。

这一点不用多解释。甲方在合同里写了“交付时须提供代码审计报告”，那就必须做。跟甲方是不是政务项目、系统是不是等保三级没关系，合同写了就是依据。

三、为什么必须是第三方做的？

“我们自己开发团队扫一遍，出个报告不行吗？”

这个问题，我们在IPO审计场景里解释过，逻辑是一样的。自己扫自己的代码，存在根本性的利益冲突。 开发团队是被审计系统的建设者，如果代码里存在可以用来篡改数据的后门或漏洞，开发团队自己出具“系统安全”的结论，等于让被审计方自己给自己写无犯罪证明。

等保测评机构在核查时，关注的是“有没有具有法定资质的第三方出具的报告”。没有资质机构盖章的报告，在测评现场不会被采信。

第三方软件测试机构

四、实操建议

1.翻合同和任务书。

验收要求里写了“代码审计”“源代码安全审查”“代码安全审计”的，就必须做。没写的，看项目类型，等保三级及以上自研系统，即使合同没写，测评时也会要求补。

2.确认机构资质。

2026年之后，认准CNAS认可。机构有证书不代表它能做代码审计，核对认可范围附件里有没有代码审计或软件测试相关标准。

3.提前规划时间。

代码审计的常规周期比功能测试长，中小型系统通常需要5到8个工作日，大型复杂系统可能更久。发现缺陷后还要修复、复测，给验收留出缓冲时间。

代码审计不是所有交付测试的标配，但等保三级及以上自研系统、政务项目、合同明确要求的场景下，它是验收的硬门槛。搞清楚自己的项目属于哪种情况，比事后补报告省心得多。

标签：代码审计、甲方交付测试