本标准规定了源代码安全的审计过程及方法，描述了软件源代码安全弱点的典型审计指标。本标准的审计活动主要对象是源代码，主要针对于源代码层面的安全问题，不包含需求分析、设计、测试、部署配置、运维等方面的安全问题。本标准审计的源代码对象不针对特定语言。

文档属于信息安全行业的国家推荐标准，该标准还暂未正式实施，目前只是征求意见稿，分享给大家，以便在工作中参考。

本文是JavaWeb工程源代码安全审计实战，基于WebGoat工程，讲解四种高危漏洞：文件路径操纵、系统日志欺骗、线程安全和资源未释放问题。

XX系统源代码安全审计报告(模板)

2020-信息安全技术 代码安全审计规范.docx

为了解决在代码安全审计过程中没有结合XXXX 公司实际情况的安全策略和 安全审计基线的问题,XXXX 公司因此邀请在业界在软件安全开发和安全审计方 面有丰富实践经验的咨询人员针对XXXX 公司的实际状况作安全咨询,其完成如 下主要的任务和目的 1) 结合XXXX公司的软件安全开发和管理需要,建立XXXX公司代码安全审计 策略； 2) 建立XXXX 公司代码安全审计基线和版本发布的安全标准； 3) 整合源代码安全扫描工具Checkmarx 和安全审计策略和基线； 4) 结合XXXX 公司的研发环境和技术架构, 撰写XXXX 公司安全编码指南； 5) 培训相关的软件开发人员、测试人员和安全专员软件安全知识和技能。