تعامل مع الكود المُنشأ كمساهمة غير موثوقة. تحقّق من التفويض على الخادم، وصحة الإدخال عند حدود API، وملكية العناصر، واجعل ردود الأخطاء آمنة. ابحث عن مفاتيح API والرموز والبيانات الخاصة في المستودع ومخرجات البناء.
راجع تغييرات التبعيات وملفات lock؛ وثبّت من ملف lock المُلتزم به في CI. اختبر المصادقة والأدوار ورفع الملفات وتدفقات الدفع والنسخ الاحتياطية في staging. استخدم معيارًا أمنيًا مثل OWASP ASVS لتحديد ما يجب التحقق منه. OWASP ASVS
خطوات العمل
- افحص المصدر والسجل ومخرجات البناء بحثًا عن الأسرار.
- راجع تغييرات التبعيات وملف lock.
- اختبر التحكم في الوصول والتحقق من الإدخال بصفتك مستخدمًا آخر.
- تحقّق من النسخ الاحتياطية والتراجع قبل إصدار الإنتاج.