Traktuj wygenerowany kod jak niezweryfikowaną zmianę. Sprawdź autoryzację po stronie serwera, walidację danych wejściowych API i uprawnienia do obiektów. Szukaj kluczy, tokenów i danych osobowych w repozytorium, historii Git oraz artefaktach builda.
Przejrzyj zależności i lockfile; w CI instaluj wersje z zatwierdzonego pliku. Na stagingu testuj role, upload plików, płatności i kopie zapasowe. OWASP ASVS
Kolejność działań
- Wyszukaj sekrety w kodzie, historii i buildzie.
- Sprawdź zmiany zależności i lockfile.
- Przetestuj uprawnienia i walidację jako inny użytkownik.
- Przed wdrożeniem sprawdź backup i plan wycofania.