將生成的程式碼視為尚未信任的變更。檢查伺服器端授權、在 API 邊界驗證輸入、確認物件擁有權檢查，並確保錯誤回應安全。在程式碼儲存庫和建置產物中搜尋 API 金鑰、權杖和私人資料。
檢查相依套件與 lockfile 的變更；在 CI 中使用已提交的 lockfile 安裝。於 staging 測試驗證、角色、檔案上傳、付款流程和備份。可使用 OWASP ASVS 等安全基準定義必須驗證的項目。OWASP ASVS
後續步驟
- 掃描原始碼、歷史記錄和建置輸出中的機密資訊。
- 檢查相依套件和 lockfile 的變更。
- 以其他使用者身分測試存取控制和輸入驗證。
- 正式發布前確認備份和復原方案。