很多漏洞不是上线才有的，是写代码时就埋下了。开发安全（SDL）的思路，是把安全嵌进从写码到上线的每一步。
## 一、需求就带安全
功能设计阶段就问一句：这功能会被怎么滥用。我们做开发把安全需求写进规格，不事后补。
## 二、代码要过审
提交前做安全评审和扫描，常见问题拦在合并前。我们做安全把扫描接进流程，不靠人工记。
## 三、依赖要管住
开源组件是漏洞高发区。我们做托管把依赖清单和漏洞库比对，命中即处理。
## 四、上线要验收
上线前跑安全验收，确认配置、权限、日志都到位。我们做安全把验收当发布门槛，不带病上线。
开发安全 SDL，我们按「需求带安全、代码过审、依赖管住、上线验收」来做，让漏洞少出生。
—
担心网站安全、怕被黑被挂马？安全防御 / SSL 托管 / 网站加速我们都能接。微信 jeans2045、QQ 361611074，先聊再给方案。