2026年7月1日，《系统与软件工程低代码开发平台通用技术要求》（GB/T 46900-2025）正式实施。

​

这是国内首个低代码领域的国家标准，覆盖了开发环境、建模能力、应用构建与部署、互操作性、安全性、可管理性等多个维度，对低代码平台提出了132项具体技术要求。

国标落地之后，企业选型增加了一项新的前置条件。

过去选低代码平台，问的是"能不能用"。现在多了一个问题："合不合规"。对于政务、金融、制造、能源等重点行业，这项回答直接影响项目能否通过验收。

我们团队从国标草案阶段就在跟踪这个方向。本文从合规的五个关键维度出发，结合低代码平台（以我们团队正在合作的低代码产品做一个对照）的实际能力，做一个系统性的对照梳理。

一、数据自主可控

国标中关于平台开放性和可管理性的要求，翻译成企业选型语言就是一句话：你用了这个平台，数据是不是你自己的，系统能不能独立迁移。

行业里有一类低代码产品，用起来方便，但用户搭建出来的应用和数据被锁定在平台的私有格式里。想导出，只给Excel。想迁移，不支持。想切换供应商，相当于推倒重建。这类产品在国标实施后，首当其冲受到限制。

低代码产品的做法是这样：平台支持全量业务数据和流程配置的导出。账号采用永久买断制，不是按年订阅。部署模式是私有化，系统安装在客户自己的服务器或私有云上。客户掌握全部功能、全部数据、全部的部署和管理权限。不会因为停止续费就失去对系统的控制。

这一条没有太多技术上的门道，但它决定了企业数字资产的归属权。国标把它写进了条文中，因为它确实是评价一个平台"是否真正服务于企业"的底线指标。

二、信创合规与国产化生态适配

国标对平台的部署环境兼容性有明确的技术指标要求。落实到国内企业采购中，就是信创合规。

信创不是一个模糊的口号。它需要具体到操作系统、数据库、中间件三个层面的实际适配。目前国内主流的信创技术栈包括：操作系统层的麒麟、统信UOS、欧拉；数据库层的达梦、人大金仓、高斯；中间件层的东方通、金蝶天燕等。

在信创方面的适配情况如下。操作系统层面，已完成麒麟、统信UOS、欧拉的兼容性认证。数据库层面，已通过人大金仓数据库产品兼容性认证。中间件层面，支持主流国产中间件。整体获得了信创证书。

此外，通过了信息安全等级保护二级认证和ISO 27001信息安全管理体系认证。对于参与政务和国企信息化项目投标的企业来说，这些资质不是加分项，是准入门槛。国标落地之后，这个门槛只会更高。

三、安全性与权限治理

国标对平台的安全性提出了多层级的要求，涵盖访问控制、数据安全、操作审计和代码生成监管。

在访问控制方面，的权限架构覆盖了六个粒度。团队级的物理数据隔离，应用级的访问入口控制，模块级的功能权限，记录级的数据行权限，字段级的数据列权限，控件级的按钮和输入框操作权限。六个层级在统一权限引擎上分层叠加，上层默认继承底层约束。

在数据安全方面，平台支持字段级的数据脱敏配置。敏感字段在非授权角色下自动遮盖，同时保留数据的完整性供后台计算使用。对于AI生成代码的场景，国标和GB/T 47507-2026《人工智能可信赖通则》都要求AI生成代码必须经过安全审核后才能进入生产环境。AI代码生成流程中内置了自动扫描和人工确认环节，避免未经审计的AI代码直接上线。

在操作审计方面，提供全链路的操作日志记录。每一条操作都附带时间戳、操作主体身份、操作类型和操作结果。日志支持持久化保存、按多维条件检索和批量导出，在外部合规审计时可以直接作为审计证据。AI Agent的操作审计采用三层日志架构，通过统一trace_id将意图、操作和告警串联为完整的追溯链路。

四、开放性与系统互操作

国标对平台的互操作性提出的核心要求是：低代码平台不能是一个封闭的黑盒。它需要提供标准化的接口，让外部系统能够对接，也让平台内部搭建的应用能够被外部系统调用。

在这一层的设计分为三个方向。

第一，API开放。平台上的所有数据表和业务模块都可以通过RESTful API对外暴露。外部系统可以通过标准HTTP协议进行数据读取、写入和操作触发。API调用受平台统一权限引擎的管控，每次调用都需要经过身份认证和权限校验。

第二，外部数据库对接。支持直接连接外部数据库作为数据源，包括MySQL、Oracle、SQL Server、人大金仓等主流关系型数据库。连接后在平台内可以直接对外部数据表做查询和分析，不需要做数据迁移。

第三，第三方平台集成。已经完成了与企业微信、钉钉、飞书的深度对接。组织架构可以实时同步，审批消息可以直接推送到IM客户端。用户可以在IM中直接处理审批流程，不需要打开浏览器再登录。

五、持续演进与能力转移

国标中有一个容易被忽略但对企业长期价值影响很大的维度：平台的可管理性和持续演进能力。

一个低代码平台，搭完系统上线只完成了数字化的一半。另一半是企业和团队能不能持续维护这套系统、能不能在业务变化时自行调整、能不能把平台能力沉淀为内部资产。如果每次改动都要找原厂开发，那低代码的长期价值就大打折扣。

在这方面的做法是三个方向并行。第一，提供完整的平台开发文档和系统使用文档，让企业IT团队可以自主学习和操作。第二，提供低代码培训服务，通过专属课程和实操带教，帮助企业培养内部的低代码开发骨干。第三，通过能力转移，让企业IT部门逐步具备独立搭建和维护业务系统的能力。

在项目实施层面，交付团队会按阶段进行系统上线，每个阶段都有明确的验收标准。售后环节提供12个月免费质保期，平台有新版本时客户可以选择免费升级。

六、五个维度对照总结

把上述五个维度汇总为一张对照表。

结语：

国标的意义不在于给低代码行业多加了一条红线。它的意义在于，让"什么是合格的平台"这件事有了一个统一的、客观的基础标准。在此之前，企业选型只能靠自己摸爬滚打，踩了坑才知道什么不能选。国标把前人踩过的坑变成了白纸黑字的参考项。

对于正在选型低代码平台的企业来说，合规不仅是验收的需要。它本质上保护的是企业的数字资产安全和长期发展空间。一个合规的平台，意味着数据是你自己的，系统是可以独立维护的，安全是有架构兜底的，AI能力的引入是受约束被审计的。

在这五个维度上的能力配置，不因为国标来了才去做，而是平台从设计之初就在做的事。国标只是让这些能力有了一个更清晰、更可对比的标尺。

阅读原文：点击这里