团队准备做一次安全审计，找了三家服务商，报价从几千到几十万都有，口径还完全不一样——有的按人天，有的按系统数，有的按接口调用量。你没法直接比，因为根本不知道贵在哪。这篇不给你一个「均价」，而是把费用拆成几块能核对的结构，告诉你在询价前要固定哪些变量、哪些情况不适合套用这套框架，以及怎么用站内资料页把数字对齐。
三家服务商报价差出几十倍，不一定是有人坑你，很可能是三份报价根本不在同一个口径上。有的按人天算，有的按系统数分档，有的按接口调用量报价，你拿一个总数去比，等于拿苹果比西瓜。这篇不给你一个「均价」——那种数字对具体项目没参考价值——而是把费用拆成能核对的结构，告诉你询价前要固定哪些变量。
先记住一个前提：安全审计没有标准价，只有可比的报价。可比的前提是范围、口径、交付物三样东西对齐。任何一项没写进合同，后面都可能变成加钱项。具体到某类项目现在大概什么价位，去站内价格追踪页核对当时的数字，别信口头承诺。
先分清四种计价口径，不然报价没法比
拿到报价第一件事，不是看总额，是看它按什么单位算。四种常见口径各有适用边界，混用就失去可比性。下面这张表帮你快速对号入座。
| 计价口径 | 公式/分档依据 | 适合的项目 | 容易踩的坑 |
|---|---|---|---|
| 按人天 | 人数 × 天数 × 单价 | 范围已经写死的项目 | 范围一改就超支，追加要走变更 |
| 按系统/资产数 | 域名、IP、接口、子系统数量分档 | 资产清单做得清楚的团队 | 资产没数清，少报后期补差价 |
| 按调用量/数据量 | 接口条数、日志体量、表数量 | 接口安全、数据合规类审计 | 量级估算口径不一致，差出几倍 |
| 打包价 | 服务商按经验报总价 | 范围极小的单点评估 | 最难判断贵在哪，砍价也没抓手 |
按人天最常见，也最容易扯皮。因为「人天」里含着资历差异，同样一天，普通工程师和持证专家的单价不是一个档。谈的时候要求对方把人员配置和单价分开列。
- 按人天：范围清楚的项目首选，但务必写明范围变更怎么计费
- 按资产数：适合资产台账清晰的团队，谈之前先自己数一遍域名和接口
- 按调用量：只适合接口和数据类审计，普通渗透别用这个口径
- 打包价：只在小范围单点评估时用，大项目用打包价等于放弃比价能力
一次性审计的钱，主要花在四块上
一次性项目的费用基本能拆成人力、工具与授权、复测与出具报告、差旅与驻场四块。你可以逐块问「这块含不含」，含不含直接决定最终账单。
- 人力
- 测试、复现、写报告，通常占大头，单价随人员资历和是否需要持证人员波动
- 工具与授权
- 商业扫描器授权、云上靶场环境、第三方情报库订阅，有的服务商单独列项
- 复测与出具报告
- 初测修完再复测是常规做法，复测含不含在总价里必须写进合同
- 差旅与驻场
- 需要现场配合的按次或按天另算，纯远程项目这块通常为零
重点盯复测。很多报价单里只写「出具报告」，不写「整改后复测」。如果你需要一份能拿出去证明已整改的报告，复测是必选项，事后单独加往往比一开始打包谈贵。
- 核范围让对方把域名、IP、接口、子系统逐条列出来，标注在内还是在排除项，总价和清单一起才算完整报价
- 拆分项要求按人力、工具、复测、差旅四块分项列出，只给一个大数的直接退回
- 问交付确认报告深度、是否给复现步骤和修复建议、是否提供整改后复测证明，写进合同附件
- 定变更写明范围变更的计费方式，比如新增资产按什么单价补，避免中途扯皮
包月不是把一次性摊平，要看清它保的是什么
包月的本质是买持续服务，不是把一次审计切成十二份。它保的是漏洞情报推送、新上线资产的增量扫描、应急响应时效这类持续性动作。想清楚你要的是「一年做几次深度测试」还是「有人盯着我的资产变化」，答案不同，选型不同。
| 对比项 | 一次性审计 | 包月服务 |
|---|---|---|
| 核心交付 | 一份完整体检报告 | 持续监控 + 响应承诺 |
| 深度人工测试 | 通常包含一次完整测试 | 次数有限，超出按次加钱 |
| 响应时效 | 做完交付即结束 | SLA 写几小时响应，是定价关键 |
| 资产变化 | 按当时快照评估 | 覆盖新增资产才值这个价 |
| 适合谁 | 资产半年不动一次的项目 | 资产常变、无专职安全岗的小团队 |
包月报价里最值钱的变量是响应时效和覆盖范围。SLA 写几小时响应、覆盖哪些资产，直接决定费用档位。别只看总价，先把这两项问清楚。
- 问清包月里含几次深度人工测试，超出怎么计费
- 确认新增资产是否自动纳入覆盖，还是按需另算
- SLA 的响应时效要落到条款里，口头说「很快」不算
- 资产长期不变的项目，包月往往不如攒着做一次性
询价前把这几项固定下来，报价才有可比性
很多人被报价糊弄，是因为询价时自己没给边界。服务商按自己方便的口径报，你收回来一堆没法比的价格。下面这份清单在发询价函之前先填好。
- 范围清单：域名、IP、接口、子系统逐条列出，明确在内和排除项
- 统一口径：要求按人天×单价+工具费+复测费分项报价，拒绝只给总数
- 交付物：报告深度、复现步骤、修复建议、复测证明，四项逐一确认
- 合规用途：报告要给客户或监管的，提前确认服务商资质和报告格式要求
- 时间窗口：测试在什么时间做、是否允许影响生产，影响人力排期和报价
合规用途这块要提前说。如果报告要对外提交，服务商资质和报告格式有特定要求，事后再补往往要加钱甚至重做。不确定要什么资质，去站内指南中心查一下对应场景的说明，或到工具目录对照同类服务商的能力标签。
什么情况下这套算法不适用
上面这套拆解适合常规的商业安全审计或渗透测试。有几类场景不能套用，硬套会算出严重偏离的预期。
- 强合规行业：金融、医疗通常有指定资质和审计框架，费用由合规范围倒推，不能按普通渗透估价
- 事故后应急：出事后做取证和止损按小时紧急费率算，比常规审计贵，也不按项目打包
- 自研团队内部自查：成本主要是工时和工具订阅，先用站内自查清单过一遍再决定是否外包
另外，如果你只需要某个单点的快速评估，比如一个新上线的接口，没必要走完整审计流程，按次或按接口报价更合适。反之，多套系统联动、跨团队配合的项目，按人天往往比打包价更可控。
安全审计买的不是一份报告，是「谁在什么范围内、多久内、交付什么」这四个问题的明确答案。下一步把你在谈的服务商和项目口径发到站内比一比，先看中转站可信度检测和价格追踪页上的当时的数字，再回头核对手里的报价单有没有虚高项。→
常见问题
安全审计是按次买还是包月买划算？
看资产变动频率。资产基本不动、半年才上线一次新系统的，一次性做完拿报告更省；对外业务持续迭代、每周都有新接口上线的，包月能覆盖增量，反而不用反复重新招标。判断标准是「上次审计后新增的资产，你自己说得清有几个吗」，说不清就偏向包月。
为什么不同服务商报价能差好几倍？
多半不是谁在宰你，而是范围口径不同：一个按全量资产报，一个按抽样报；一个含复测，一个复测另算；一个派持证人员，一个派初级工程师。比价前先要求分项报价，把范围、人天、工具费、复测费拆开对齐，剩下的差价才是真正需要解释的部分。
预算有限，哪些环节可以砍、哪些不能砍？
能砍的是工具费和差旅，用远程加开源工具替代，报告深度也可以先要简版。不能砍的是范围界定和复测，范围不写清后面一定扯皮，复测不做等于报告上的问题没人验证修没修。真缺钱，宁可缩小范围把核心对外系统做透，也别全量铺开做浅层扫描。
