Web Application Testing: What is the right amount?

安全代码评审（SCR）应尽早介入 SDLC。本文给出五个步骤：与开发者共建安全文化、轮换评审人、统一流程与标准、选对工具并控制误报，避免拖累本已紧张的发版周期。

本文破除应用安全四大迷思：AppSec 团队可有可无、组织太小不需要、DevOps 模式不适用、安全会拖累交付。成功的应用安全之旅始于集中治理团队与缺陷发现机制，更安全的应用性能与质量也更佳。

讨论应用开发外包中被普遍忽视的安全问题：应要求开发方证明团队接受过安全编码培训且知识未过时，把安全评审条款写入合同，并在发布前完成应用渗透测试与代码审计，同时明确漏洞必须修复。

自动化代码扫描工具（Fortify、Checkmarx、Veracode 等）虽满足 PCI DSS 6.3.2 要求，但会漏掉人工审计才能发现的认证与授权类漏洞；误报过多的报告还容易让开发人员放弃修复，合规不等于安全。

短文观点：静态代码审计与动态渗透测试各有盲区，只做其一必然漏掉漏洞；企业应两者兼顾并及时修复发现的问题，不要以“仅内网可用”“以后再修”为借口拖延。

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。