一、流程设计
　　需求阶段：
　　威胁建模：在需求分析阶段，从安全的角度，对威胁建模并加以描述。
　　开发测试阶段：
　　安全编码培训==>白盒扫描==>黑盒扫描==>产品发布
　　开发过程：概设＆详设阶段需要考虑Environmental Safety（环境安全）
　　编码阶段需要按照安全编码规范
　　产品运营阶段：
　　安全响应：
　　被动：安全事件响应
　　主动：不影响业务的前提下的渗透测试、测试环境下的fuzzing
　　二、策略及适用工具
　　自动化：
　　白盒：
　　静态扫描为主；
　　黑盒：
　　url镜像+漏洞扫描
　　例子：用工具（比如wapiti等）扫描，分析并利用（贴出来的url都是以前的，现在已经修复了。这里作为学习的例子，没有不良意图）。

　　HTTP会话录制回放（基于业务的）
　　在乌云上可以找到大量的通过业务录制回放方法找到的缺陷
　　例子：http://www.wooyun.org/bugs/wooyun-2015-0106600
　　手工：
　　日常渗透
　　三、总结
　　可借鉴微软SDL