Behandle generierten Code wie einen ungeprüften Beitrag. Prüfe serverseitige Autorisierung, API-Eingabevalidierung und Objektberechtigungen. Suche Schlüssel, Tokens und personenbezogene Daten im Repository, in der Git-Historie und in Build-Artefakten.
Prüfe Abhängigkeiten und Lockfile; installiere in CI die festgeschriebenen Versionen. Teste Rollen, Datei-Uploads, Zahlungen und Backups auf Staging. OWASP ASVS
Vorgehensweise
- Suche Geheimnisse im Quellcode, Verlauf und Build.
- Prüfe Änderungen an Abhängigkeiten und Lockfile.
- Teste Rechte und Eingaben als anderer Nutzer.
- Prüfe Backup und Rollback vor dem Release.