探索关键验证点

应在从开发到生产的每个步骤中添加持续安全验证，以帮助确保应用程序始终安全。

此方法旨在将与安全团队的对话从批准每个版本切换到同意 CI/CD 过程，并随时监视和审核流程。

下图突出显示了生成绿色字段应用程序时 CI/CD 管道中的关键验证点。

可以根据平台和应用程序的生命周期逐步实现这些工具。

尤其是在产品成熟且之前尚未针对站点或应用程序运行任何安全验证时。

IDE/拉取请求

CI/CD 中的验证在开发人员提交其代码之前开始。

IDE 中的静态代码分析工具提供第一道防线，以帮助确保不会将安全漏洞引入 CI/CD 进程。

将代码提交到中央存储库的过程应具有控制措施，以帮助防止引入安全漏洞。

将 Azure DevOps 中的 Git 源代码管理与分支策略配合使用可提供可进行此验证的封闭提交体验。

在共享分支上启用分支策略需要拉取请求来启动合并过程，并确保执行所有定义的控件。

拉取请求应需要代码评审，这是一项手动但重要的检查，用于识别代码中引入的新问题。

除了这一项手动检查外，提交还应链接到工作项以审核进行代码更改的原因，并要求持续集成 (CI) 生成过程成功后才能完成推送。