1.1 代码审计方式
审计之前，创建一个核心问题清单，包括安全漏洞，身份验证问题。
授权问题,内存泄露和不良设计习惯之类的问题
跟踪 用户输入数据 和 敏感函数参数 回溯，最为常用。
1.2 审计要点
1.密码硬编码 & 明文存储
2.命令注入
3.文件上传
关键词:
1.upload
2.MultipartFile
3.fileName
4.filePath
4.越权，URL跳转
关键词:
1.sendRedirect
2.setHeader
3.forward
5.sql注入: select、Dao、from、delete、update、insert、createStatement
6.反序列化: readObject、readUnshared、JSON.parseObject
7.XSS: getParameter、param
8.XML注入: XMLStreamReader 、SAXReader、
1.3 审计工具
Fortify SCA 是一款静态应用程序安全性测试产品，可供开发团队和安全专家分析源代码，监测安全漏洞，帮助开发人员更快更轻松地识别问题并排定问题优先级，然后加以解决。