安全软件开发生命周期(SSDLC)

SSDLC 把安全工作正式融入软件交付的全过程,而不是作为一次性的审计任务。典型阶段包括安全需求、威胁建模、安全架构评审、安全编码规范、代码评审、SAST、SCA、DAST/IAST、渗透测试、发布门禁以及运行时监控。Microsoft SDL、OWASP SAMM、NIST SSDF 等框架定义了相应的实践与成熟度等级。其价值在于可预测地降低风险:漏洞在修复成本最低时被发现并修复,合规证据则作为日常工程工作的副产品自动产生。