มองโค้ดที่สร้างขึ้นเป็นส่วนแก้ไขที่ยังไม่ผ่านการตรวจสอบ ตรวจการอนุญาตบนเซิร์ฟเวอร์ ตรวจสอบอินพุตที่ขอบเขต API ยืนยันการตรวจสิทธิ์เจ้าของข้อมูล และทำให้การตอบกลับข้อผิดพลาดปลอดภัย ค้นหาคีย์ API โทเค็น และข้อมูลส่วนตัวใน repository และไฟล์ผลลัพธ์จากการ build
ตรวจการเปลี่ยนแปลงของ dependencies และ lockfile; ติดตั้งจาก lockfile ที่ commit ไว้ใน CI ทดสอบการยืนยันตัวตน บทบาท การอัปโหลดไฟล์ ขั้นตอนชำระเงิน และข้อมูลสำรองใน staging ใช้เกณฑ์ความปลอดภัย เช่น OWASP ASVS เพื่อกำหนดสิ่งที่ต้องตรวจ OWASP ASVS
ขั้นตอนที่ควรทำ
- สแกนซอร์ส ประวัติ และผลลัพธ์ build เพื่อหาความลับ
- ตรวจการเปลี่ยนแปลงของ dependencies และ lockfile
- ทดสอบการควบคุมสิทธิ์และการตรวจอินพุตในฐานะผู้ใช้อื่น
- ตรวจสอบข้อมูลสำรองและการ rollback ก่อนเผยแพร่ production