不少企业在做等保测评准备时发现，系统本身能过，自建APP这一块却被反复提整改：登录鉴权、数据存储、日志留痕、组件版本，总有一两项说不清楚。等保2.0在GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》中已于2019年发布并施行，移动互联与移动应用相关要求被明确写入，APP不再是可以单独放一放的边缘资产。
下面按「现象—可能原因—排查顺序—预防措施」的方式，把合规整改拆成几个方向。整改不是一次性的交差动作，而是和后续版本迭代、发布审核绑在一起的日常工作。
APP被列出多条整改项，通常出在哪几个方向
同一个「不通过」，背后原因差别很大，先归类再动手，能省掉来回返工。
- 身份与权限：注册登录缺少强校验，口令策略、错误次数限制、会话失效时间没有明确定义，越权访问没有可验证的控制。
- 数据全生命周期：个人信息采集有超范围收集，传输与本地缓存是否加密没有统一约定，卸载后遗留数据未清理。
- 运行与开发安全：输入的校验不完整、调试接口残留、第三方 SDK 与开源组件版本未登记，只在开发环境测试过便上线。
- 日志与审计：关键操作没留痕，日志可被普通账号查看，留存时长和备份未形成制度。
- 文档与配合：缺少安全方案、测试报告、组件清单等佐证材料，测评时无法说明。
这些问题在功能测试环境里往往看不出来，因为它测的是「功能对不对」，而等保测的是「边界是否清晰、过程是否可查」。如果APP和后台管理系统是分给不同团队做的，接口约定更要提前写清。可参考软件定制开发与系统集成服务时常用的责任划分方式。
合规整改的排查顺序：从边界到细节逐层推进
建议按下列顺序逐项推进，每一步都有前一步的结论作为前提，跳过其中任何一环都容易在后面返工。
- 先定等级和边界。确认APP承载的业务属于哪个系统、对应哪一级，是否与已备案系统共用同一套账号和数据库；范围定清楚，后面才好判断整改内容。
- 盘资源清单。理清APP本身、服务端接口、第三方 SDK、推送与地图等外部依赖，谁在调谁、数据流向何处，画成一张表。
- 核对身份与权限。检查注册登录、口令策略、找回流程、角色与数据范围，重点看能否用低权限账号访问到不属于它的数据。
- 核对数据传输与本地存储。确认传输是否启用加密，本地缓存写入了什么、能否被读取、卸载时是否清理。
- 检查服务端与配置。接口鉴权是否逐请求校验、调试与后台入口是否关闭、错误信息是否回显内部路径。
- 查组件与依赖。整理第三方 SDK 与开源库清单，确认来源可靠、许可合规，升级路径清楚。
- 补日志与审计。登录、授权变更、数据导出等操作要有记录，日志集中存储并限制查看权限。
- 再走文档与验收。把上面每一步的结论整理成安全方案与自测记录，作为测评沟通材料。
顺序里最容易压缩的是第2步。资源清单没有整理干净，后面的排查就是凭印象找问题，走到测评环节仍会暴露。同类事情的交付经验可见同类项目案例。
整改过程中的几个常见判断点
加密做到什么程度算够。通常的判断标准是看数据敏感度和暴露路径，而不是要求全部字段一视同仁。个人信息、通行凭证类字段需要重点处理，公开资讯类可以按业务需要取舍。
第三方组件是否能省掉。多数情况下不能。常用推送、统计、地图类组件需要保留，但要有清单、来源记录和升级安排。真正要避免的是「不知道用了什么、为什么会出现在这里」。
旧APP和后台管理系统谁先改。如果两端共用一套鉴权与日志方案，一般建议先在服务端把鉴权与日志铺好，再改APP的交互与缓存策略，能少改一遍。
在下一次发版前可以做的预防措施
把安全项嵌入开发生命周期，比上线后再回头补救省事。以下几条对多数自建APP都适用。
- 立项阶段就明确等级与边界，需求评审时同步确认合规要求，避免功能定型后再改架构。
- 接口设计阶段统一定义鉴权和返回格式，不让业务接口绕过统一入口。
- 把第三方组件的引入作为评审项，登记来源、版本和维护方，避免“先引进来再说”。
- 日志与审计在功能开发时一并实现，避免上线后开日志对不上字段。
- 发版流程设置安全自测环节，把下面的检查清单固定挂进上线评审。
- 已有发布制品留存与回滚机制，便于发现问题后快速定位版本。
如果APP与后台管理系统涉及多套已有系统对接，往往还牵涉接口梳理与权限同步。这类改造我们做过不少，交付流程与交付物可参考服务范围与交付流程。
上线前可直接对照的合规检查清单
- APP所承载的业务系统等级已确认，备案与范围无争议。
- 已整理APP、服务端、第三方组件的资源清单与数据流向。
- 注册、登录、口令策略、会话时效已明确并一致落地。
- 低权限账号无法访问越权数据，测试过程留有记录。
- 传输加密已启用，本地缓存内容、读取权限、卸载清理均有结论。
- 服务端接口逐请求鉴权，调试入口与内部错误回显已关闭。
- 第三方组件来源、许可、升级安排已登记。
- 关键操作日志可查，日志存储与查看权限已限定。
- 安全方案、自测记录、组件清单能随测评一并提交。
- 发版前的安全检查环节已写入流程，有明确责任人。
这份清单不是一次过完就结束。只要APP仍在更新、仍在加新功能，就要在版本节奏里重复对照。把合规当成发布流程的一部分，通常会比临时突击从容很多。需要一并梳理已有系统与接口时，可以先看看政府与国企国产化改造案例中的类似做法。
