OWASP 应用程序安全验证标准 4.0.3

验证使用安全的软件开发生命周期，在开发的所有阶段都考虑到安全性。(C1)

验证在每次设计变更或冲刺计划中使用威胁建模，以识别威胁、制定应对措施、促进适当的风险响应，并指导安全测试。

确保所有用户故事和功能都包含功能性安全约束，例如“作为用户，我应该能够查看和编辑我的个人资料，但我不应该能够查看或编辑其他人的个人资料”

验证所有应用程序的信任边界、组件和重要数据流的文档和理由。

验证应用程序高层架构及所有连接的远程服务的定义和安全分析。（C1）

验证集中化、简洁（设计经济）、经过审查、可靠且可重复使用的安全控制的实施，以避免重复、遗漏、无效或不安全的控制。（C10）

向所有开发人员和测试人员确认安全编码清单、安全需求、指南或政策的可用性。