Anggap kod janaan sebagai sumbangan yang belum dipercayai. Semak kebenaran pada pelayan, sahkan input di sempadan API, pastikan pemilikan objek diperiksa dan pastikan respons ralat selamat. Cari kunci API, token dan data peribadi dalam repositori serta artifak binaan.
Semak perubahan kebergantungan dan lockfile; pasang daripada lockfile yang dikomit dalam CI. Uji pengesahan, peranan, muat naik fail, aliran pembayaran dan sandaran di staging. Gunakan asas keselamatan seperti OWASP ASVS untuk menentukan perkara yang perlu disahkan. OWASP ASVS
Langkah yang perlu diikuti
- Imbas sumber, sejarah dan output binaan untuk mencari rahsia.
- Semak perubahan kebergantungan dan lockfile.
- Uji kawalan akses dan pengesahan input sebagai pengguna lain.
- Sahkan sandaran dan rollback sebelum keluaran production.