将生成的代码视为尚未信任的贡献。检查服务器端授权，在 API 边界验证输入，核实对象所有权检查，并确保错误响应安全。在代码库和构建产物中搜索 API 密钥、令牌和私人数据。
审查依赖项和 lockfile 的变更；在 CI 中根据已提交的 lockfile 安装依赖。在 staging 环境测试身份验证、角色、文件上传、支付流程和备份。可使用 OWASP ASVS 等安全基线明确必须验证的项目。OWASP ASVS
后续步骤
- 扫描源代码、历史记录和构建产物中的机密信息。
- 审查依赖项和 lockfile 的变更。
- 以另一位用户的身份测试访问控制和输入验证。
- 上线前验证备份和回滚方案。