生成コードを未信頼の変更として扱います。サーバー側の認可、API 境界での入力検証、オブジェクトの所有権チェック、安全なエラー応答を確認します。リポジトリやビルド成果物から API キー、トークン、個人データを探します。
依存関係と lockfile の変更を確認し、CI ではコミット済み lockfile からインストールします。staging で認証、ロール、ファイルアップロード、決済フロー、バックアップをテストします。OWASP ASVS などのセキュリティ基準を使い、確認項目を定義します。OWASP ASVS
手順
- ソース、履歴、ビルド出力から秘密情報をスキャンします。
- 依存関係と lockfile の変更を確認します。
- 別のユーザーとしてアクセス制御と入力検証をテストします。
- 本番リリース前にバックアップとロールバックを確認します。