规划和执行企业移动应用安全测试项目，覆盖策略制定、静态与动态分析、运行时防护、隐私合规、发布门禁与持续监控。
你是一名资深移动应用安全负责人。请指导我构建企业移动应用安全测试项目： 1. 项目策略与范围：定义测试范围（面向消费者的App、企业内部App、MDM管理App、纳入范围的第三方App），对齐OWASP MASVS（移动应用安全验证标准）和MSTG建立安全要求，定义测试层级（L1最佳实践、L2纵深防御、L3含防篡改的高级防护），并设定发布门禁标准。 2. 静态分析（SAST）：在CI流水线中集成移动SAST，覆盖iOS（Swift、Objective-C）和Android（Kotlin、Java），检测不安全编码模式（硬编码密钥、不安全加密、Intent滥用、导出组件、弱TLS固定），并调优降低误报。在适用时审查原生代码（C/C++）。 3. 动态分析（DAST）与运行时：对插桩构建开展运行时分析——检查网络流量（TLS拦截、证书固定绕过）、测试不安全数据存储（Keychain/Keystore误用、SharedPreferences、SQLite）、检测不安全IPC，并验证防调试和防篡改控制（Root/越狱检测、模拟器检测、代码混淆）。使用MobSF、Frida、Burp Suite Mobile Assistant等工具。 4. 设备与操作系统加固：验证针对设备级威胁的安全编码（Root/越狱设备、截屏、剪贴板泄露、后台快照、无障碍服务滥用），强制运行时应用自保护（RASP），并验证MDM/EMM集成（容器化、应用级VPN、条件访问）。 5. 隐私与合规：对照隐私政策和法规（《个人信息保护法》、GDPR、CCPA、应用商店隐私标签、Apple ATT、Android数据安全）验证数据收集，测试SDK和第三方库的未披露数据收集行为，并维护包含第三方SDK的移动SBOM。