很多人在做系统测试的时候会疑惑，系统测试里到底包不包含安全测试？特别是在配置端口映射这种涉及网络暴露的场景下，这个问题就更关键了。
系统测试和安全测试的关系
系统测试是个大概念，它指的是对整个软件系统进行的功能、性能、兼容性等方面的全面验证。而安全测试是其中的一个专项类型，关注的是系统能不能防住攻击、数据会不会泄露、权限有没有被滥用。
打个比方，你家装修完要做整体验收，这是“系统测试”。这时候有人专门来检查防盗门牢不牢、窗户有没有装护栏，这就是“安全测试”。它属于验收的一部分，但不是唯一的内容。
端口映射场景下的实际影响
当你在路由器上做了端口映射，比如把外网的 8080 端口指向内网某台服务器，等于给外部打开了一扇门。这时候如果只测功能——看网页能不能访问，那只是完成了基础系统测试。
但如果不去检查这扇门有没有加锁，比如是否限制了访问IP、服务有没有已知漏洞、登录有没有强密码策略，那就等于把家门敞开，谁都能进来转一圈。
像常见的 Web 服务，如果开了 80 映射到内网 Apache，结果程序用了老旧版本，存在远程代码执行漏洞，光做功能测试根本发现不了问题，必须通过安全测试手段才能识别风险。
安全测试该什么时候做
理想情况下，安全测试应该作为系统测试的一个环节嵌入进去。尤其是在涉及网络暴露、用户登录、数据传输的模块上线前，必须单独过一遍安全检查项。
你可以用一些工具辅助，比如 Nmap 扫一下开放的端口是不是只有该开的：
nmap -p 80,443,8080 192.168.1.100或者用 Nikto 检查 Web 服务有没有明显漏洞：
nikto -h http://your-domain.com这些动作看起来像是“额外工作”，但在真实环境中，一次没测出的安全漏洞，可能带来的损失远超测试成本。
别把“能用”当成“安全”
很多小团队甚至个人开发者，在部署服务时只关心“能不能连上”，一旦浏览器显示页面，就认为测试通过。这种想法在本地调试没问题，但一旦做了端口映射，服务暴露在公网，就成了攻击者的靶子。
真正的系统测试，得既包括“功能跑得通”，也包括“别人攻不破”。特别是当你在家庭宽带或云服务器上开了映射，每天都有自动化脚本在扫 IP 段，找薄弱点。
所以答案很明确：系统测试**可以包含**安全测试，但默认不会自动包含。你得主动把它加进去，尤其是在涉及端口映射、远程访问这类高风险操作时，安全测试不是选修课，而是必修项。