Code Review – is automated testing enough?

短文观点：静态代码审计与动态渗透测试各有盲区，只做其一必然漏掉漏洞；企业应两者兼顾并及时修复发现的问题，不要以“仅内网可用”“以后再修”为借口拖延。

安全代码评审（SCR）应尽早介入 SDLC。本文给出五个步骤：与开发者共建安全文化、轮换评审人、统一流程与标准、选对工具并控制误报，避免拖累本已紧张的发版周期。

本文破除应用安全四大迷思：AppSec 团队可有可无、组织太小不需要、DevOps 模式不适用、安全会拖累交付。成功的应用安全之旅始于集中治理团队与缺陷发现机制，更安全的应用性能与质量也更佳。

开源不等于安全：某企业使用的开源框架自 2012 年后未再更新，代码审计发现逾万条问题中近 80% 出自该框架，含 SQL 注入与存储型 XSS。建议对第三方代码做安全评估，及时修补或替换被弃维护的框架。

微软公开 Word for Windows 1.1a 源码后，作者用 CheckMarx 对这 37.6 万行上世纪 80 年代的 C++ 代码做自动化审计：strcpy 等不安全函数与 123 处 goto 语句集中暴露风险，见证了安全编码实践的演进。

讨论应用开发外包中被普遍忽视的安全问题：应要求开发方证明团队接受过安全编码培训且知识未过时，把安全评审条款写入合同，并在发布前完成应用渗透测试与代码审计，同时明确漏洞必须修复。