在小编怎样谈论上述三个观点落地之前，首先谈谈小编对当前SDL流程中大家做的流程的看法：

 

1、APP安全/安全开发设计/安全意识培训时说漏洞类型(OWASPTop10等)是低效行为

 

从小编培训的经验来看，真正的case直接打击人心，给人留下深刻印象，一小时内说实际的脆弱

性类型，特别是XSS、CSRF等，会让读者觉得疑惑。这儿并不是说安全培训不重要，反过来，

安全培训是提升 开发设计安全意识的重要手段，重要的是面对不一样人群选择培训素材和培训方

式，如果能达到开发设计自主咨询安全解决方案的效果，培训就会成功。

 

 

2.强制流程卡点是懒惰的行为

 

做安全运营的学生往往有思维惯性，希望在所有环节都做卡，这种行为/想法不利于合作关系的变

化。换位思考，谁希望每一步的操作都受到阻碍，与开发设计效率的提升 。我的应用安全方法论

，回归正题，对于APP安全建设，小编怎样探索落地？下次一个接一个地来。首先，APP脆弱性

的种类很多，在大公司，要保护大量APP、大量数据信息的安全，最应该解决的是什么样的安全

风险呢？1、数据信息批量泄漏的安全风险2、管理权限不完善的安全风险3、命令执行/SQL注入

/服务器接管等高风险漏洞的安全风险。

 

这儿可能有人提到监督安全风险。例如，网络安全法、GDPR、等保证等，由于多属于安全合规

性和数据安全范围，不在小编的认知范围内，所以在这里暂时不提及。整理重要安全风险，怎样

才能更清楚，小编把其方法论归纳为三个环节，分别是:

 

1、APP安全开发设计:漏洞代码在线前发现安全风险.
 

2、APP安全评价:通过红蓝对抗、安全大众测量、漏洞扫描等发现在线漏洞.
 

3、APP交易感知:高风险/核心APP交易监视、感知。

 

我们的目标是尽量避免在线发布漏洞(尤其是高风险漏洞)的代码。在此小编将漏洞分为常规漏洞

(SQLI、XSS、SSRF等)、业务逻辑漏洞(越权漏洞、邮件爆炸等)。通常的脆弱性:这样的安全风

险依赖于安全开发框架、DAST、IAST、RASP等安全工具，工具链越完善，这样的脆弱性就越

少。这是安全专业范围内的事情，本文不开始讲话。
 

 

业务逻辑漏洞：如今无论哪一家的SRC，接收到的高危漏洞中，越权漏洞相应是比重最高的一部

分，迄今也并没有看到1个经营成本低、漏报率低的越权类漏洞扫描工具的出现。实际上这一个

也能够理解，前两年小编也尝试去研发1个越权扫描器，可是效果却远不如想象中的美好，归根

结底便是，业务形态的变化多端、研发设计风格的不一样，造成 了越权漏洞表面现象上大多数

相同，基本原理逻辑性上却截然不同，这也就是目前根据流量重放的越权扫描器效果相对性好一

些的因素所在。越权扫描扫描器无法解决所有业务逻辑漏洞，请尝试改变生产关系。业务、商品

、开发设计、检测、安全五者相互间合作关系的变化，所有人都应对APP安全负责。