应用安全
在上线或客户审查前发现应用安全缺口。
新增 API、租户模型或敏感业务流程，可能让以往的安全评审失去参考价值。Wavect 审查变更涉及的设计和代码，帮团队明确上线前该修什么。
简要回答
应用安全评审检查应用如何保护数据和控制访问。Wavect 按约定范围审查 Web 应用和 API 的架构、源代码与安全控制，按风险排序交付发现，并可验证约定的修复项。
适合对象
- 即将发布新角色、API 或租户边界的 SaaS 团队
- 需要为企业客户的安全审查准备证据的产品团队
其他需求
- 对正在运行的应用开展单独授权的渗透测试
应该优先审查哪些应用功能？
从容易因错误暴露客户数据或授予不当访问权限的流程入手。常见范围包括登录与账户找回、角色权限和租户隔离、敏感 API 操作，以及服务间的数据流动。
安全代码审查包括哪些内容？
我们梳理数据流和信任边界，检查相关代码与测试，记录已经审查的控制措施。对于 Web 应用和 API，可选用 OWASP 应用安全验证标准 中的要求，与团队约定覆盖范围和所需证据。
团队会收到什么？
交付内容包括已审查的版本及范围限制、按业务影响排列的风险待办清单，以及修复验收标准。如范围包含实施或复查，我们会记录已经验证的变更和未解决事项。
如何根据安全发现作出发布决定？
示例：新增导出功能后，团队尚未确认哪些账户角色可以访问客户数据。团队先约定访问规则、指定负责人，再记录发布前必须完成的验证。
哪种安全服务适合您的情况？
常见问题
报告记录审查过的控制、覆盖限制和剩余风险，可用于与客户沟通，或为单独的正式评估提供材料。
通常可先使用代码库访问权限、架构说明和有代表性的测试环境，配合合成账户与数据。开始前会约定访问方式和数据处理。
评审前先明确报告接收方和披露范围。我们可以为约定的受众准备摘要，说明已检查的控制、未解决事项和已验证的修复。
可以，需将复查纳入约定范围。我们记录复查的版本、检查的修复项和剩余限制。