安全 / Web、App 与 API
越南 Web 应用安全评估服务
Friday Works 是一家在越南胡志明市注册的公司，以全远程方式为网站和 API 提供 Web 应用安全评估。每次评估都在双方商定的范围内，检查攻击面、配置、身份认证、权限控制和重要业务流程。评估结果聚焦可复现的证据、实际影响，以及开发团队能够直接执行的修复顺序。
- 参考预算
- 800万–2000万越南盾一个应用，范围内最多 2 个角色和 20 个 API
- 周期
- 1–2 周企业官网通常只需几天；角色越多，耗时越长
- 复测
- 30 天内 1 次确认发现项已经修复
- 授权
- 书面形式测试前商定范围、测试账号和禁止操作
常见痛点
企业常请我们解决的问题
情况 01
即将上线，却没人检查过不同账号类型之间的权限。
Friday Works 的做法
逐个角色手动测试：一个用户能否查看或修改其他用户的数据，普通账号能否访问管理功能。
情况 02
扫描工具报出上百条警告，没人知道哪些是真的。
Friday Works 的做法
工具输出只是线索。报告中的每个发现项都经过可复现证据的验证，误报（false positive）会被剔除。
情况 03
开发团队拿到了报告，却不知道该从哪里改起。
Friday Works 的做法
发现项按实际影响排序，并附上适合现有架构的修复方法，再通过结果讲解会（walkthrough）让团队当面提问。
情况 04
客户或合作伙伴询问系统是否做过安全评估。
Friday Works 的做法
报告写明范围、日期、方法以及复测后的状态。这是限定范围的技术评估，不是合规认证。
项目类型
我们常承接的项目
上线前
在网站或应用接入真实用户和数据之前，检查关键的安全控制是否到位。
重大变更后
在一次重要版本发布之后，检查登录、权限、支付、上传或 API 流程。
摸清现状
为从未做过系统性评估的系统，整理出按优先级排列的风险清单和修复待办事项。
什么时候应该做安全评估？
适合以下情况
- 网站、Web 应用或 API 接入真实用户和数据之前。
- 登录、权限、支付、上传或 API 发生重大变更之后。
- 范围内的每个角色都能提供测试环境和测试账号。
不适合以下情况
- 需要基础设施、内网或 DDoS 测试，或完整的红队项目。
- 需要的是合规证书而非技术评估，或系统所有者尚未授权测试。
合作方式
逐步说明：谁负责什么，您会得到什么
以下是一个 Web 应用的示例排期：最多 2 个角色、范围内 20 个 API（B01 套餐，约 1–2 个工作周）。企业官网通常更短；涉及多个应用或角色时需要更多时间。
- 01测试前
范围与授权
所有检查都在书面约定的范围和授权之内进行。
Friday Works 负责
- 商定域名、应用、API、用户角色和测试时间窗口。
- 列出禁止操作以及事件联系人。
- 商定报告接收人和测试数据的保留期限。
您需要配合
确认系统所有权，提供测试账号和测试环境。
您将获得
- 范围与测试规则文件
- 测试排期与报价
确认节点签署方案与测试授权书，并完成第一期付款↗︎
- 02第 1–2 天
梳理应用
先像真实用户一样理解应用，再提出假设。
Friday Works 负责
- 用每个约定的角色完整走一遍应用。
- 列出端点、登录流程、权限、上传和集成。
- 选定需要深入测试的高风险区域。
您需要配合
提供 API 文档（如有）以及最重要的业务流程。
您将获得
- 测试范围地图
- 按优先级排列的假设清单
- 03第 2–7 天
受控测试
技术审查与低影响的手动检查相结合。
Friday Works 负责
- 测试身份认证、会话和账号找回。
- 按角色、按单个数据对象测试权限控制。
- 测试输入处理、上传、配置和业务逻辑。
- 为每个假设记录基线和对照测试；一旦发现严重风险，立即通知联系人。
您需要配合
保持技术联系人随时可联系，测试期间避免重大变更。
您将获得
- 每个发现项的证据
- 严重问题的提前预警
- 04第 7–10 天
报告与讲解
交付一份开发团队可以立即使用的报告，而不是一堆原始警告。
Friday Works 负责
- 撰写管理层摘要和按优先级排列的发现项清单。
- 为每个发现项写明背景、最少必要的证据、影响和修复方向。
- 在线向开发团队讲解并解答问题。
您需要配合
邀请负责修复的人员参加讲解会。
您将获得
- 安全评估报告
- 一次技术讲解会
确认节点交付报告↗︎
- 0530 天内
修复、复测与结项
确认已修复的内容，干净利落地结束项目。
Friday Works 负责
- 在贵方团队完成修复后，对商定的发现项进行复测。
- 更新报告中每个发现项的状态。
- 收回测试账号，并按约定的保留期限处理测试数据。
您需要配合
按优先级修复，准备好复测时通知我们。
您将获得
- 复测后更新的报告
- 下一次评估的建议
确认节点验收并支付尾款↗︎
交付内容
您将获得的成果
范围与安全
- 范围与测试规则资产、角色、测试时间窗口和禁止操作，均以书面形式确认。
- 测试范围清单纳入评估的端点、流程和功能。
- 数据处理协议报告接收人、脱敏方式和保留期限。
评估报告
- 管理层摘要用非专业人士也能看懂的语言，说明整体风险和需要优先处理的事项。
- 有证据支撑的发现项触发条件、安全的复现步骤、对照测试和观察到的影响。
- 优先级与修复建议按实际影响排序，并贴合现有架构。
- 覆盖范围已审查的安全控制项，包括未发现问题的部分。
修复支持
- 技术讲解会逐一讲解每个发现项的原因和修复方法。
- 30 天内 1 次复测确认商定的发现项已被正确修复。
- 状态更新标明哪些发现项已关闭、仍未解决或已接受风险。
方法与参考工具
具体技术栈会按项目选择并写入方案，不会把同一个平台硬套到所有问题上。
- OWASP ASVS、WSTG 和 API Security Top 10用来搭建测试覆盖的框架，再根据实际架构和业务流程调整。
- 工具辅助的手动审查使用浏览器 DevTools、测试代理和脚本化检查；工具输出本身不会直接算作发现项。
- 可复现的证据每个发现项都写明条件、安全的复现步骤和对照测试。
- 最少化的数据处理敏感数据在整个过程中都会被限制使用、脱敏或加密。
协作
双方需要准备的内容
您需要准备的内容
- 确认对每个受测资产拥有所有权或已获授权。
- 测试（staging）环境，或生产环境中的安全时间窗口。
- 范围内每个角色的测试账号。
- API 文档和重要业务流程说明（如有）。
- 测试期间的技术联系人和事件联系人。
报告中每个发现项必须具备的要素
- 清晰的条件、安全的复现步骤和对照测试。
- 优先级基于实际影响，而不仅仅是工具评分。
- 证据最少必要，报告中不含真实的敏感数据。
- 所有检查都在授权范围和时间窗口内进行。
- 自动化工具的结果均经过人工验证。
- 修复建议足够具体，开发人员可以直接动手。
价格
参考套餐与预算构成
相关起步套餐
2026年10月20日版 · 币种：越南盾（VND）Web / API 安全评估
800万–2000万越南盾/ 次
预计周期：1–2周
基础范围：1 个应用、最多 2 种角色和 20 个范围内的 API；检查身份验证/权限控制和核心流程；提供附证据的报告和修复优先级，并在 30 天内复测 1 次。
不含：完整源代码审查、DDoS 测试、内部基础设施/网络测试或合规认证。
以上为新项目的参考预算，并非固定报价，也不是已完成合同的价格。每个项目的范围、进度和费用都会在开工前确认。
常规周期
- 企业官网
- 如果范围、访问权限和测试环境已经就绪，通常只需几个工作日。
- Web 应用或 API（B01）
- 一个应用、最多 2 个角色和 20 个 API，通常需要 1–2 周；范围更大时可能需要 2–3 周。
- 正式范围
- 只有在了解资产、功能和安全操作限制之后才会确定。
影响预算的因素
- 域名、应用、API 端点和用户角色的数量。
- 身份认证、权限控制和业务逻辑的复杂度。
- 测试环境、测试账号、测试时间窗口以及事件协调方面的要求。
- 报告的详细程度、研讨会以及复测范围。
建议付款安排
- 40%项目启动
- 40%演示与核心功能
- 20%验收与交付
确定报价之前
- 开工前确认页面、功能、数据和验收标准清单。
- 工期从范围确认、收到所需资料并支付首期款之后开始计算。
- 方案包含验收后 3 个月内，对 Friday Works 开发部分的缺陷修复。
- 域名、主机、邮箱、AI/API、数据、许可证、第三方服务及适用税费单独列明。
交付之后
质保、运维与后续开发
30 天内 1 次复测
在贵方团队完成修复后，Friday Works 会对商定的发现项进行复测，并在报告中更新状态。更大的范围或定期评估另行报价。
常见问题
开始合作之前
01什么是网站安全评估？它和漏洞扫描有什么不同？
网站安全评估是在商定范围内审查配置、攻击面、身份认证、权限控制和重要业务流程。自动化扫描能提供有用的线索，而结合业务场景的评估还会通过受控测试验证假设、排除误报（false positive），并按实际影响为发现项排序。
02网站、Web 应用或 API 安全评估的费用由什么决定？
安全评估的费用取决于域名、应用、API 端点和用户角色的数量，身份认证与权限控制的复杂度，业务流程的深度，测试环境，报告要求以及复测范围。价格会在资产、安全操作限制和所需证据明确之后确定。
03Friday Works 是否从越南提供 Web 应用安全评估？
Friday Works 是在胡志明市注册的公司，以全远程方式从越南提供限定范围的 Web 应用安全评估。评估范围、获授权的资产、测试账号、测试时间窗口、沟通渠道和事件联系人，都会在任何受控测试开始之前商定。
04这是完整的渗透测试或红队演练吗？
Friday Works 提供的是限定范围的 Web 应用与 API 安全评估，并非完整的渗透测试或红队演练。如果需求是完整的渗透测试或红队项目，需要在做出承诺之前先确认能力、范围和合适的合作伙伴。
05评估会影响系统正常运行吗？
Friday Works 的安全评估以低影响为设计原则，并遵守双方商定的规则。可能修改数据或影响服务的操作，在没有合适环境和明确授权的情况下不会执行。
06报告能帮助开发人员修复问题吗？
Friday Works 的安全评估报告以修复为目标编写：每个发现项都包含背景、最少必要的证据、影响和切实可行的修复方向；结果讲解会（walkthrough）让团队在复测前当面提问。
07报告可以分享给第三方吗？
Friday Works 的安全评估报告只发送给方案中约定的接收人；是否与客户或合作伙伴分享，由企业自行决定。测试数据的保留期限和项目结束后的处理方式，会在工作开始前商定。
08多久做一次安全评估比较合适？
安全评估建议在重要上线之前，以及登录、权限、支付、上传或 API 发生重大变更之后进行。变更频繁的系统更适合定期审查，而不是只做一次检查。
与 Friday Works 沟通
提交需求之后
- 01发送简要说明
说明目标、现状和期望时间，也可以附上相关资料。
- 021 个工作日内回复
Friday Works 会发来需要确认的问题，或约一次线上沟通。
- 03沟通项目范围
一起梳理目标、风险以及符合预算的方案。
- 04收到书面方案
包括范围、按里程碑划分的进度、费用和验收标准。