OWASP 应用程序安全验证标准 4.0.3
控制项模式应用安全验证标准是一份应用安全需求或测试清单，可供架构师、开发人员、测试人员、安全专家、工具供应商和用户用来定义、构建、测试和验证安全应用程序。
确认正在使用的代码分析工具能够检测潜在的恶意代码，例如时间函数、不安全的文件操作和网络连接。
验证应用程序源代码和第三方库是否不包含未经授权的回传或数据收集功能。如果存在此类功能，请在收集任何数据之前获取用户的许可。
验证应用程序是否不会请求与隐私相关的功能或传感器（如联系人、相机、麦克风或位置）无关的或过多的权限。
验证应用程序源代码和第三方库中是否不包含后门，例如硬编码或额外的未记录账户或密钥、代码混淆、未记录的二进制模块、Rootkit 或反调试功能、不安全的调试功能，或其他过时、不安全或隐藏的功能，如果被发现可能会被恶意利用。
通过搜索与日期和时间相关的函数，验证应用程序源代码和第三方库中不包含定时炸弹。
验证应用程序源代码和第三方库中是否不包含恶意代码，例如切片攻击、逻辑绕过或逻辑炸弹。
验证应用程序的源代码和第三方库是否不包含彩蛋或其他任何潜在的不良功能。
确保如果应用程序具有客户端或服务器自动更新功能，更新应通过安全通道获取并进行数字签名。更新代码在安装或执行更新之前必须验证更新的数字签名。
验证应用程序是否采用了完整性保护措施，例如代码签名或子资源完整性。应用程序不得从不受信任的来源加载或执行代码，例如从不受信任的来源或互联网加载包含文件、模块、插件、代码或库。
如果应用程序依赖于 DNS 条目或 DNS 子域（例如过期的域名、过时的 DNS 指针或 CNAME、公共源代码仓库中的过期项目，或临时的云 API、无服务器函数或存储桶（*autogen-bucket-id*.cloud.example.com）等），请验证该应用程序是否具备防止子域接管的保护。保护措施可以包括确保应用程序使用的 DNS 名称定期检查是否过期或发生变化。