一份合规、有效的第三方软件测试报告不是由自己编写而是委托有资质的独立机构完成并盖章生效。

怎样选择测试机构

检查资质附表

CMA和CNAS资质证书都有一份能力范围附表，列明了机构被批准检测的对象和标准。

CMA（检验检测机构资质认定）：在全国认证认可信息公共服务平台查询证书状态，确定有效且未被暂停。决定了报告在国内（尤其政企验收、招投标、司法举证中）的法律效力。

CNAS（实验室认可）：在中国合格评定国家认可委员会官网（cnas.org.cn）查询，并必须下载附表，核对需要的测试类别（如软件产品性能、信息安全等）是不是在列。CNAS体现技术能力，并在国际互认场景中受认可。

其他方面

人员和工具尤其是渗透测试、代码审计等深度安全项目，人员的经验非常重要。可以看团队是不是持有CISP-PTE等个人资质或是不是配备人工渗透团队而不是仅靠自动化扫描。

标准一致：报告中引用的测试标准（如GB/T 25000.51），必须和招标文件或验收要求中指定的标准一致。

报告的内容组成

一份规范的第三方测试报告结构相对固定。

封面和基本信息：包含报告名称、唯一性标识、被测软件名称及版本、委托方、测试机构、报告日期，以及CMA/CNAS等认证标识和编号。

摘要和结果：开篇直接给出重要结果（如“通过/不通过”），并概述测试范围、主要发现和风险。

测试根据和范围：确定列出所根据的需求规格说明书（SRS）、技术协议以及按照的国家或行业标准（如GB/T 25000.51-2016），并确定了测试具体包括了哪些功能或性能标准。

测试环境和配置：详细记录硬件型号、操作系统、数据库版本、网络拓扑及测试工具清单。

测试方法和执行：说明采用的测试类型（功能、性能、安全等）、用例设计原则，并记录测试起止时间、执行人员及用例通过/失败/阻塞的统计情况。

缺陷统计和分析：汇总发现的缺陷，一般包含缺陷描述、复现步骤、严重等级、优先级及修复状态。

测试结果和建议：根据测试数据和缺陷分析，给出确定的合格性决定，并针对发现的问题提出具体的整改或优化建议。

附录：提供测试用例清单、原始日志、重点截图等补充材料。

流程参考

流程：选择机构-沟通需求和范围-提交软件需求/设计文档及安装包-机构制定方案并执行测试-机构内部三级审核（编写人、技术负责人、质量负责人）-盖章出具报告。

周期和费用：

周期：常规项目一般需要 5-10个工作日，复杂项目（如含深度性能或安全测试）可能需要2-4周甚至更长。加急会产生额外费用。

费用：没有统一标准，取决于测试类型和软件规模。基础功能测试可能在数千元，而涉及性能、安全或大型系统的全面测评，费用可达数万元。费用主要受测试类型、功能点数量、系统复杂度及是不是需要加急等原因影响。