行业风险
SaaS 的风险所在
SaaS 最具决定性的风险是租户隔离：在一个共享平台上，最坏情形的漏洞会让一位客户触达另一位客户的数据。与之并列的，是决定您平台是否值得信赖的 Web、API 与云配置问题。
租户隔离
跨租户 IDOR/BOLA 让一位客户能读取或修改另一位客户的数据，这是影响最大的多租户缺陷。
跨角色的授权
管理员、成员与查看者角色之间失效的功能级与对象级授权。只有通过多角色测试才能发现。
云配置错误
过度宽松的 IAM、公开的存储与薄弱的日志。大多数云风险存在于配置之中，从外部无法看到。
SOC 2 这道销售关卡
没有 SOC 2 准备和一份可信的渗透测试，企业级交易就会停滞，因为采购部门通常在签字前要求二者齐备。
我们如何测试
我们如何测试 SaaS 平台
我们聚焦于决定 SaaS 平台成败的关键：Web 应用、跨角色跨租户测试的多租户 API、它所运行的云配置，以及 SOC 2 准备，让测试成果成为您的客户认可的证据。
标准与法规
立足于 SaaS 买家会核查的各项标准
OWASP WSTG v4.2OWASP API Top 10（2023）OWASP ASVS 5.0AICPA TSC（SOC 2）CIS BenchmarksCVSS 3.1
应用与 API 测试对照 OWASP WSTG v4.2、OWASP API Security Top 10（2023）与 OWASP ASVS 5.0；云配置对照 CIS Benchmarks 审查；SOC 2 准备对照 AICPA 信任服务标准。我们提供准备、差距评估以及配套的渗透测试，SOC 2 报告由独立 CPA 事务所出具，而非由我们出具。发现以 CVSS 3.1 评分。