Считайте сгенерированный код внешним изменением. Проверьте авторизацию на сервере, валидацию данных на границах API и права на каждый объект. Ищите ключи, токены и личные данные в репозитории, истории Git и собранных файлах.
Проверьте изменения зависимостей и lock-файла; в CI устанавливайте версии из зафиксированного lock-файла. На staging испытайте роли, загрузку файлов, платежи и резервные копии. Для проверяемых требований используйте, например, OWASP ASVS. OWASP ASVS
Порядок действий
- Найдите секреты в коде, истории и сборке.
- Проверьте новые зависимости и lock-файл.
- Испытайте права доступа и валидацию от имени другого пользователя.
- До релиза проверьте резервную копию и откат.