灵敏开发是如今干流的开发形式，相对于传统的瀑布式敞开，它经过疾速的迭代来响应和展现客户的需要，灵敏开发的长处现已是尽人皆知了。可是灵敏开发现已施行了许多年了，项目安全问题仍是和瀑布开发敞开形式相同没有得到处理，都是到项目上线前一两个礼拜才进行安全测验和浸透测验。
这种形式有十分大的坏处，榜首，许多安全问题应当在架构规划和coding的时分就要思考到的，在项目快结束的时分去处理现已太晚了。第二，从我的阅历来看，大多数项目由于各种要素都会有推迟的状况，这个时分上线压力十分大。即便发现了许多安全缝隙，由于修正价值十分的高，项目经理一般会采纳折中的方案来保证上线。任何折中方案都会致使缝隙直接上线，暴露在黑客面前，给商品带来十分大的危险。
将安全问题留到最终处理是十分危险的，可是在立项的时分就把安全问题悉数放到项目开端期间也并不是十分可取的，软件架构包括许多跨功用的需要，比方功用、扩展性以及安全。这些需要一般应当在代码规划前规划和决议怎么施行，由于这个时刻点才会有满足的信息来做准确的决议。太早的时分决议这些跨功用需要由于没有满足的信息会带来安全危险，等发现想修正架构时由于价值太高，现已太晚了。
将安全问题放在项目开端或许结束的时分来思考都是极点的做法，那在灵敏开发的项目怎么处理安全问题呢?准确的做法是在项目开端时思考好项目安全需要做哪方面的作业，需要什么样的架构规划，在开发进程中一直思考安全要素，在项目结束时进行必要的安全测验。
从笔者的自己项目经历，做到以下几点也能够让安全也能够灵敏起来。
1. 遵循安全编码标准
假如每个开发人员都知道怎么编写安全的代码那么许多运用程序的安全缝隙都能够防止。比方：在处理用户输入时，应当知道怎么做输入校验。在将用户信息存入数据库时，应当知道讲灵敏信息进行加密或许混杂。在进行数据传输时要保证传输通道安全及对内容加密。在回来错误信息和log时要对输出进行消毒等等。通晓OWASP Top 10运用安全缝隙是每个运用程序开发人员的必备技术。WebGoat是一个十分好的学习的网站，网络上也有许多有关的援助。我国古话说得好“磨刀不误砍柴工”，在项目开端对程序员举办必要的安全等方面的训练是十分有必要的。
2. 每个项目组应当有一名安全专家
坦率讲让每个程序对安全有深的了解是不实际的，有许多安全问题是需要专家的双眼才干发现。安全专家是刚需，强烈推荐每个项目组有一个在运用安全范畴有比较深研讨和了解的资深程序员。需要安全专家的等级和才干能够依据项目对安全的请求来定，当然有条件的状况，专家才干越强对项目的安全保证越好。在没有请安全专家才干的团队能够由安全经历丰富的资深工程师来担任也是能够的。安全专家的主要职责包括：
在开发安全灵敏度十分高的用户故事时和工程师们结对编程
对工程师的代码进行安全评定，保证代码在提交到代码库前没有安全问题
在挑选运用哪些商业代码，开源库，公共API等第三方库时进行安全剖析和决议
协助QA人员测验安全灵敏度高的用户故事，保证程序安全。
除了这些以外，安全专家还应当协助程序员了解安全编码，将安全常识共享给每个程序员，进步程序员的安全意识。 3. 辨认安全灵敏度高的用户故事
八二原则在安全也是适用的，80%的安全问题是由20%的用户故事致使的，安全专家要辨认出安全灵敏度高的用户故事，将有限的资本有限放在这些故事里。安全专家能够在每个迭代开端前运用方案会议将这些安全灵敏度的故事辨认出来并象征出来。让每个程序员对这些用户故事在安全方面加以注重。举几个应当标为安全灵敏度高的用户故事：
包括用户输入选项(比方输入框，挑选框等等)
存储数据到数据库
数据传输到外部体系
处理外部体系传入的数据
输出信息到外部体系和文件等。
处理验证和认证流程
4. 每个安全灵敏用户故事都应当有歹意测验
每个用户故事都事前规划可承受条件，项目负责人能够在安全专家的协助下从安全的视点规划可承受条件，安全专家应当写一些歹意的或许破坏性的测验条件，类似于功用测验用例。即是从黑客的视点去思考问题，怎么攻破这些用户故事。
5. 在用户故事被接纳前举办严厉的安全测验
传统形式是在项目结束前才举办安全测验，在灵敏形式下，每个用户故事在被承受前都应当进行安全测验，QA人员能够在安全专家指导下和功用测验一同履行歹意测验，也能够运用静态和动态扫描东西对代码举办缝隙扫描，一旦发现安全问题，和功用bug相同，用户故事将会退回给开发人员进行修正，修正结束后再进行测验。这种循环能够进行屡次直到没有问题发现。用户故事才干被承受。
安全测验自动化仍是手艺呢?
自动化化测验是灵敏开发中十分重要的一个根底，也能够说没有自动化就没有灵敏形式。安全测验也是相同如此。自动化不是全能的，许多测验是自动化没有办法完结的，片面最求彻底自动化是不可取的。对安全特别如此，比较好的方法是，安全专家先经过手艺的方法找到缝隙，然后将这个找缝隙的进程自动化，防止新的代码改动导致相同的缝隙。
后语：
这几种实习实际上是和灵敏开发思维是共同的，即是将全部安全的需要拆分到每个迭代里，让安全需要由笼统变为详细，在保证每个用户故事安全的前提下进而保证全部项目的安全。可是说起来简单做起来确实不简单，安全专家和有安全意识和才干的开发人员是稀缺资本，特别在我国，我们注重项目安全也是近来一两年的工作，安全人员的培育没有跟上来。
在这种状况下彻底依照这个实习是不太实际的，对于这种状况 Gartner 在2014年就提出了RASP 的概念，即是将这些实习笼统成一种通用化的商品，将安全编码标准和缝隙发现融组成一种安全商品，开发人员能够讲 RASP 商品联系扫描东西在运行时对商品缝隙检查，很快就定位哪行代码存在安全缝隙。这种商品的理念和灵敏开发十分的匹配。我们有爱好能够测验一下。有关材料能够经过 Google 和baidu能够找到。
