Comments 2
Сколько видел "уязвимостей" от безов, всегда это либо юнит тесты, либо еще чёт такое, что не имеет отношения к делу. Типа мы раскладываем пользователей по бакетам для AB тестов, хэшироуем их id с помощью md5 - прибегут безы и скажут что это не безопасный алгоритм. Это и так понятно что не безопасный в целом, но здесь вполне безопасный.
Расскажите, а вообще процесс Security Code Review нужен? Вы реально в 2к24 находили код с sql инъекциями?) Мне кажется если так, то проблему надо решать немного по-другому, например, разогнав ваших разработчиков и наняв нормальных.
Я всегда считал и считаю, что спецы по ИБ должны пайплайны настраивать помогать, чтобы там сканера отрабатывали автоматом. Смотреть арихтетурные решения, чтобы там уязвимости находить. А вот это ревью кода - оно замедлит доставку фич, а результата не даст.
Security code review. Подходы и инструменты AppSec инженера