Manual vs. Automated Testing

自动化代码扫描工具（Fortify、Checkmarx、Veracode 等）虽满足 PCI DSS 6.3.2 要求，但会漏掉人工审计才能发现的认证与授权类漏洞；误报过多的报告还容易让开发人员放弃修复，合规不等于安全。

短文观点：静态代码审计与动态渗透测试各有盲区，只做其一必然漏掉漏洞；企业应两者兼顾并及时修复发现的问题，不要以“仅内网可用”“以后再修”为借口拖延。

NetSPI 回应客户「如何按 PCI 要求做代码审计」：目前并无覆盖全部 PCI 条款的统一清单，可将 OWASP Top 10（2010）作为主线，映射防火墙、存储保护、传输加密等要求；但磁道数据仅可授权前加密存储等细节不在 OWASP 范围内，需单独核查。

代码审计与 Web 应用渗透测试各有所长，能发现 OWASP Top 10 中不同侧重的漏洞。作者对比两者优劣，并关联 PCI DSS 第 6.6 条与 PA-DSS 要求。

藏在应用代码中的后门凭据可完全绕过正常认证。作者告诫开发者不要埋设后门，并建议用户要求软件供应商就后门问题给出书面答复。

最终写进事故复盘的安全问题，在引入它们的 PR 里很少显得危险——不是谁粗心，而是改动本身看不出问题：代码按字面意思工作，毛病出在应用运行后的行为上。ProjectDiscovery 指出 LLM 代码审查在实测中精度仅约 63%，主张对 PR 补充针对运行中应用的行为验证。