什么是安全开发生命周期 (SDLC)？

Question

什么是安全开发生命周期 (SDLC)？

Accepted Answer

**安全开发生命周期 (SDLC)** 将安全性集成到软件开发的每个阶段——从需求到设计、编码、测试、部署和维护——而不是将其视为事后的补救。它体现了"左移"和"安全设计"的原则。

## 整个生命周期中的安全性

```text
Integrate security into EVERY phase (not just at the end):
  REQUIREMENTS → define security requirements; consider compliance
  DESIGN → THREAT MODELING; secure architecture; security review of the design
  DEVELOPMENT → secure coding practices; code review; SAST in the IDE/CI
  TESTING → security testing (SAST, DAST, dependency scanning, pen testing)
  DEPLOYMENT → secure configuration; secrets management; hardening
  MAINTENANCE → patching, monitoring, incident response, ongoing scanning
→ "shift left" — address security EARLY (cheaper than fixing after a breach).
```

## 为什么左移很重要

```text
The cost to fix a security flaw GROWS dramatically the later it's found:
  caught in design/code (cheap) << found in testing << exploited in PRODUCTION
  (very expensive: breach, damage, emergency response)
→ Building security in early (vs bolting it on / fixing breaches) is far more effective
  and cheaper.
```

## 支持 SDLC 的实践

```text
✓ Security TRAINING for developers; secure coding standards
✓ Automated security in CI/CD (SAST, dependency scanning, secret scanning) → catch per change
✓ Threat modeling and security review at design; security testing before release
✓ Security CHAMPIONS in teams; security as part of "definition of done"
✓ Continuous monitoring, patching, and improvement in production
→ Make security a continuous, integrated part of how software is built (DevSecOps).
```

## 为什么这很重要

理解安全开发生命周期是高级水平的宝贵知识，因为它代表了**在开发过程中集成安全性的成熟有效方法**，而不是事后才考虑，因此对于系统地构建安全软件非常重要。

SDLC 在**每个阶段**集成安全性——需求（定义安全需求）、设计（威胁建模、安全架构）、开发（安全编码、SAST）、测试（安全测试）、部署（安全配置、加固）和维护（补丁、监控、事件响应）——体现了**"安全设计"**和**"左移"**。理解这种全面集成是关键见解：安全不是单一阶段或附加功能，而是贯穿整个生命周期的持续关注。

理解**为什么左移很重要**——修复安全缺陷的成本随着发现时间的延迟而大幅增加（在设计/代码阶段廉价，在生产中被利用时昂贵，伴随着违规和应急响应）——为在早期而不是对违规做出反应的方式处理安全性提供了令人信服的经济和效果上的理由。

理解**支持实践**——开发人员的安全培训和标准、**CI/CD 中的自动化安全**（SAST、依赖扫描、密钥扫描在每次变更时捕获问题）、设计阶段的威胁建模和安全审查、发布前的安全测试、安全冠军和"完成定义"中的安全、以及持续的生产监控和补丁——反映了 SDLC 在实践中的实施方式（通常称为 DevSecOps）。

这代表了有效组织采取的安全的成熟方法。

由于有效地构建安全软件需要在整个开发过程中集成安全性（而不是事后），且 SDLC/左移方法远比被动式安全更有效且成本更低，由于理解它反映了成熟的安全实践，理解安全开发生命周期是高级水平的宝贵知识——这是构建安全软件的系统化、集成化方法，体现了安全设计和左移原则，反映了高级职位所期望的全面安全成熟度 (DevSecOps)，这些职位塑造了团队如何在整个开发过程中安全地构建软件的方式。