谈到安全开发，咱们就要先明确一个问题，安全开发的目的是什么呢？
所有做过开发的小伙伴，一定会有一个概念，一个程序的逻辑Bug，一定越早发现，损失越小。
如果能在需求阶段，发现并解决这个Bug，损失可以是最小的。
安全开发也是这样，希望达到的目的就是：
安全风险左移，早发现，早管理，持续改进
在安全开发上面，其实有一些现成的框架可以遵循，比如SSDLC（适合迭代式开发）、DevSecOps（适合DevOps式开发）等。
本文就说一下，我们的SSDLC是如何执行的。
当前，在能执行之前，需要进行相关的建设，包括：
明确安全风险，明确安全基线，指定安全策略，进行安全教育，部署安全工具，进行相关培训等等。
这个每个公司差异比较大，选择的组件和厂商也大不相同，就不详细描述了。
我们重点说一下，一个安全相关的需求，是如何落地的。
1、安全需求
1.1安全需求识别
组织应该达成一个共识，哪些需求比如过安全评审，比如：
a、任何账号、密码相关的
注册、登录、密码验证、验证码、密码修改、账号注销等等
b、任何用户可以发布信息的
留言、灌水、内容发布、即时通讯、提交信息并展示
c、任何上传和下载的
d、任何交易相关的
大促、活动、秒杀、刷单、刷票、业务风险响应
e、任何钱相关的
积分、交易、资金往来、营销、相关接口
f、涉及SQL编写的
g、任何敏感信息存储或展示的
购买、支付、个人信息查询、添加删除信息、充值密码
移动端图片保存、人脸识别、手势密码
h、任何证书相关的
i、任何访问控制相关的
前后端访问控制、系统对接、日志、短信、邮件
j、任何批量操作相关的
查询、导入、导出
k、合规安全相关
隐私政策、个人信息采集、敏感信息传输、生物特征识别、账号注销
等等。
1.2安全需求强制纳入安全评审，安全管理人员可以指定其他需求进入安全评审、
1.3安全小组对需求进行评审，判定是否可以继续推进
2、安全设计
2.1设计人员给出方案
2.2安全小组评审设计方案，判定是否可以继续推进
2.3测试同学，同步书安全测试用例
2.4安全小组评审设测试用例，判定是否可以继续推进
3、安全开发
3.1、开发同学IDE安装好安全组件，组件可规范编码，并进行静态扫描，及时发现代码问题
3.2、开发同学自测后，提交代码库
3.3、开发同学在测试环境，运行流水线
3.4、流水线自动混淆、编译、加固、打包、部署，同步进行各类扫描，包括：黑盒、白盒、组件、镜像、隐私检测等
3.5、流水线给出相关漏洞
3.6、开发同学修复漏洞
4、安全测试
4.1、测试同学进行功能验证
4.2、测试同学进行安全验证：渗透、越权等
4.3、测试同学进行性能验证
4.4、验证通过后，提交相关报告
5、安全验证
5.1、此时可以进行UAT验证
5.2、在版本库相同的情况下，开发同学将代码发布到UAT环境
5.3、流水线门禁根据规则判定，是否可以发布
5.4、测试同学初步验证
5.5、用户验证
6、安全部署
6.1、此时可以把代码部署到生产环境
当然，上面的开发流程，只是整个安全开发体系中的一环。
实施安全开发流程，需要庞大的前期资源投入，以及渡过一个较长的不断改进的过程。