一般性能测试或者安全测试工程师的岗位技能上面都会要求具备多年代码审计经验，首先就是通览程序的大体代码结构，在根据文件的命名第一时间辨识核心功能点、重要接口。下面我们就从代码扫描安全的角度介绍几个接口功能经常会出现的漏洞。

1. 登陆认证；

a. 任意用户登录漏洞；b. 越权漏洞 ;

2. 找回密码；

a. 验证码爆破漏洞；b. 重置管理员密码漏洞;

3. 文件上传；

a. 任意文件上传漏洞；b. SQL注入漏洞;

4. 在线支付，多为逻辑漏洞；

a. 支付过程中可直接修改数据包中的支付金额；b. 没有对购买数量进行负数限制c. 请求重访d. 其他参数干扰;

5. 接口漏洞；

a. 操作数据库的接口要防止sql注入b. 对外暴露的接口要注意认证安全 ;

经过性能或者安全测试工程师使用专业的代码扫描工具测试加固后的系统会变得更加稳定、安全，专业的代码扫描工具CA支持对源代码进行解析，得到代码的控制流程图，通过对流程图进行代码走查，实现代码级的测试覆盖，轻松实现XUnit单元测试模块的构建。

代码扫描工具CA还可以通过时间设定，只检验更新的代码，提高效率。 自动生成的测试后的报告可以帮助产品项目人员进行更好的项目决策，同时证明增加代码安全预算的必要性，并将安全问题传达到高级管理层，进行更好的安全认知，有助于进一步健全安全建设体系，遵循了相关安全策略、符合安全合规的要求。