Coi mã được tạo như một đóng góp chưa đáng tin cậy. Kiểm tra phân quyền ở phía máy chủ, xác thực đầu vào tại ranh giới API, kiểm tra quyền sở hữu và bảo vệ phản hồi lỗi. Tìm khóa API, token và dữ liệu riêng tư trong kho mã nguồn cũng như sản phẩm build.
Rà soát thay đổi dependency và lockfile; trong CI hãy cài đặt từ lockfile đã commit. Kiểm tra xác thực, vai trò, tải tệp, luồng thanh toán và bản sao lưu trong staging. Dùng chuẩn bảo mật như OWASP ASVS để xác định những gì cần kiểm chứng. OWASP ASVS
Các bước thực hiện
- Quét mã nguồn, lịch sử và đầu ra build để tìm bí mật.
- Rà soát thay đổi dependency và lockfile.
- Kiểm tra phân quyền và xác thực đầu vào với tư cách một người dùng khác.
- Xác minh bản sao lưu và khả năng rollback trước khi phát hành production.