如果团队还没有正式的安全岗位，最容易发生的不是“没人懂安全”，而是安全要求太晚进入项目：接口已经写完、依赖已经引入、权限模型已经散落在各处，最后只能靠补丁式修复。下面这份清单适合初创或早期技术团队放进开发规范、代码评审模板和上线前检查中，核心依据是 OWASP 安全编码实践，并结合 OWASP Top 10:2025 中强调的高风险类...