产品团队SaaS安全检查清单：发布前与每次版本发布必检的十大领域

本检查清单面向交付多租户产品、需应对客户安全问卷的产品经理、工程负责人和创始人。我们的SaaS平台工程指南在简短章节中列出了安全基础要点；本页将其转化为团队可逐项勾选的条目，并附上需附上的证明材料。

本指南目录

• 如何使用本检查清单
• 十大领域一览
• 租户隔离：SaaS产品的常见失败点
• 身份、API与业务逻辑检查
• 数据、密钥与供应链
• 日志记录、恢复与事件响应
• AI功能的安全性
• 由谁执行审查：各方案的比较与选择标准
• 审查计划
• Netbase JSC如何构建和检查SaaS产品
• 现有交付记录与尚不存在的记录
• 本指南的局限性
• 常见问题
• 下一步

如何使用本检查清单

将每个条目视为包含三个部分的问题：谁负责、当前有何证明，以及最近一次核查时间。没有责任人的条目视为未完成，无论代码实际做了什么。将所有答案集中存放在同一处（如代码库中），以便客户安全审查时能从记录中直接作答，而非依靠记忆。

两条规则保持清单的诚实性：仅当测试、日志、配置项或文档可以证明时才勾选条目，并针对当前实际运营的产品执行清单，而非架构图。

十大领域一览

租户隔离：SaaS产品的常见失败点

访问控制是Web应用最常见的失败领域：OWASP Top 10:2025将失效的访问控制列为首位。对于多租户产品，一处缺失的租户检查就可能将一个客户的数据暴露给另一个客户。OWASP多租户安全备忘单将此转化为具体控制措施：

• 将租户绑定到已验证的身份。从服务端会话中获取租户标识，而非信任客户端传入的值，并在每次请求时验证成员身份。
• 限定每次查询的范围。在数据库查询中包含租户标识，或通过行级策略在数据库层强制执行，避免通过猜测标识符获取其他租户的记录。
• 缓存键包含租户标识。缓存条目若不含租户标识，可能将一个客户的页面提供给另一个客户。
• 在队列和后台任务中传递租户标识。后台任务必须重新验证其所服务的租户，存储路径和签名文件链接同样需要相同的范围限定和较短的有效期。
• 彻底完成租户下线。租户离开时，撤销凭证，并对备份和文件存储应用保留规则。

我们的多租户SaaS架构指南比较了这些控制措施背后的隔离模型。

身份、API与业务逻辑检查

身份与访问。要求管理员开启多因素认证，并向所有用户提供该选项；为有需求的企业客户支持单点登录。保持角色数量少且定义明确，设置会话过期，并每季度审查管理员权限。

API安全。大多数SaaS功能本质上是API，因此OWASP API安全Top 10（2023）是实用的测试清单。从对象级授权（API1）、认证（API2）、属性级授权（API3）、无限制资源消耗（API4）和功能级授权（API5）开始。维护每个端点的清单，包括旧版本：不当的库存管理即为API9。

业务逻辑。某些缺陷不在单次请求中，而存在于请求序列中：跳过支付步骤、重复使用邀请码，或导出超出计划限额的数据。API6将此定义为对敏感业务流程的无限制访问。记录注册、邀请、计费和导出的预期流程，并测试每个步骤是否在服务端强制执行，而非仅在界面层隐藏。

数据、密钥与供应链

• 传输和静态加密，并将密钥存放在应用代码之外，每个密钥指定负责人。
• 对数据进行分类。明确哪些字段属于个人或敏感数据，它们被复制到何处（如日志、导出文件和分析系统），以及每份副本的保留时长。
• 不在代码库中存放密钥。对其进行扫描，使用密钥存储服务，为每个环境配置独立凭证，并在人员离职时轮换密钥。
• 了解您的依赖项。扫描软件包和容器镜像，合并前进行代码审查，并记录各环境运行的版本。NIST安全软件开发框架（SP 800-218）描述了相关实践，OWASP应用安全验证标准列出了可在工单中引用的要求。
• 将第三方服务纳入攻击面管理。每个集成密钥的权限限定为最小必要范围；当过度信任上游响应时，OWASP将其标记为不安全的API消费（API10）。

日志记录、恢复与事件响应

无法回答"谁在何时访问了该租户的数据"的产品，既无法调查，也无法证明任何事情。记录登录、权限变更、数据导出和管理员操作，包含租户和用户信息，保护日志免遭其所描述对象的篡改，并对重复失败和任何被拒绝的跨租户访问发出告警。

备份只有在恢复成功后才有意义。在干净环境中恢复整个环境，也单独恢复某一租户，记录日期和结果，并在重大变更后重复执行。对于事件响应，编写一份简短计划，明确责任角色、确定何时通知客户的决策标准，以及通知模板；在第一次真实事件发生前进行桌面演练。

由谁执行审查：各方案的比较与选择标准

依据四项标准做出选择：客户合同要求、数据敏感程度、发布频率，以及团队中是否有人能承担安全责任。大多数产品需要前两项结合使用：常规检查清单，以及在重大发布前由外部人员进行的测试。

Netbase JSC如何构建和检查SaaS产品

Netbase JSC 为客户构建多租户产品，也运营自有产品。其已发布的安全实践包括：安全代码审查与版本控制、传输层TLS加密与静态AES加密、基于角色的访问控制、管理员仪表盘MFA、漏洞扫描与渗透测试，以及灾难恢复；保密协议、数据处理协议和SLA可按需提供。Netbase JSC 持有ISO 27001认证和SOC 2 Type II鉴证报告。两者均覆盖 Netbase JSC 自身的运营方式，而非客户的产品或托管环境——后者仍需自行建立控制措施、收集证据，并在客户要求时进行独立审计。Netbase JSC 在AWS、Google Cloud、DigitalOcean和Cloudflare上开展工作，且不声称持有任何云合作伙伴级别资质。大多数 Netbase JSC 项目以发现阶段后签订的固定总价合同交付。请参阅SaaS开发、提供可复用账户、租户和角色的SaaS产品加速器，以及用于测试的应用安全保障服务。MVP路线图将这些检查置于项目最初几周；如需评估供应商的答复，请参阅软件开发合作伙伴安全问题清单。

现有交付记录与尚不存在的记录

• 现有记录。Netbase JSC 构建并运营Cloodo Workspace（一款多租户数字化工作场所）和Printcart（一款服务众多商户的SaaS产品）。自2020年起，Netbase JSC 担任一美国客户多租户云ERP项目的离岸开发与管理合作伙伴，该客户名称保密。
• 尚不存在的记录。Netbase JSC 没有任何已发布的渗透测试结果、事件历史、审计发现、漏洞数量或响应时间，也不将任何内容作为特定控制措施有效性的证明。本页内容不对任何产品进行认证。

本指南的局限性

• 这是一份工作检查清单，而非合规计划；支付或医疗等受监管行业有其自身附加要求，请寻求专业建议。
• 标准会随时间变化：在执行审查当天，请核查最新的OWASP、NIST及服务提供商指南。
• 检查清单无法发现未知漏洞；这是测试和独立审查的职责。

下一步

请分享您的租户架构模型、当前证明材料以及客户发来的安全问卷，我们将预约解决方案评审，将差距对应到十大领域。您也可以了解SaaS开发服务，或浏览更多Netbase JSC见解。

相关服务与解决方案