目标
应在评审中捕获安全问题。本工作流按清单检查不可信输入的校验、编码与反序列化，确认每个敏感操作都强制认证与对象级授权，排查硬编码密钥与对查询、命令、模板的注入，并用静态分析作为兜底并确认其发现已处理。
步骤要点
- 检查不可信输入的校验、编码与反序列化。
- 确认敏感操作强制认证与对象级授权。
- 排查硬编码密钥与注入路径。
- 用静态分析兜底并确认发现已处理。
# scan the diff for common injection patterns
semgrep --config p/owasp-top-ten --diff验证
按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。
排错提示
- 评审跳过授权会漏掉访问控制缺陷。
- 缺少安全视角会让硬编码密钥溜过。
- 仅靠工具会漏掉逻辑缺陷。
适用边界
- 安全评审聚焦敏感面。
- 工具与人工结合。