為什麼 Code Review 是 SDLC 最划算的安全投資？ 在軟體交付前修復一個安全漏洞的成本，遠低於上線後的緊急修補。 程式碼審查（Code Review） 正是 SDLC 中最具成本效益的安全控制點——在程式碼合併前，系統性攔截安全漏洞與邏輯缺陷。 核心概念：人工審查 vs. 自動化工具的黃金組合 人工審查 擅長發現業務邏輯漏洞、權限設計錯誤與架構層級的安全問題，這類缺陷往往無法被工具偵測。 自動化靜態分析（SAST） 則能高效掃描 SQL Injection、XSS、硬編碼憑證等已知漏洞模式。兩者缺一不可：工具負責覆蓋廣度，人工負責判斷深度。常見 SAST 工具包含 SonarQube、Semgrep 與 Checkmarx，可整合進 CI/CD Pipeline，在每次 Pull Request 時自動觸發掃描，確保問題在合併前即被攔截。 審查重點：安全編碼規範的核心檢查清單 有效的 Code Review 需聚焦於高風險區域。輸入驗證與輸出編碼是首要檢查點，未經處理的使用者輸入是最常見的漏洞根源。其次是 身份驗證與授權邏輯 ，確認每個 API 端點都有適當的存取控制。第三是敏感資料處理，包括密碼、Token 是否明文儲存或出現在日誌中。最後檢查 第三方依賴 的版本與已知 CVE，避免引入含有已知漏洞的套件。 # Semgrep 執行範例：掃描 Python 專案中的安全問題 semgrep --config "p/owasp-top-ten" ./src # 整合至 GitHub Actions（Pull Request 觸發） # on: [pull_request] # run: semgrep --config "p/security-audit" --error 💡 重點整理 左移安全（Shift Left）： 在 PR 階段攔截漏洞，修復成本最低。 人工 + 工具並行： SAST 掃描廣度，人工審查邏輯深度，兩者互補。 聚焦高風險區： 輸入驗證、授權邏輯、敏感資料是優先審查目標。 CI/CD 強制執行： 將安全掃描納入 Pipeline，讓審查流程無法被繞過。 Code Review 不只是品質把關，更是安...