代码安全审计的核心方法在于通过系统性地检查源代码，识别并修复潜在的安全漏洞和规范性问题。在执行代码安全审计时，通常采用以下几种核心方法：
- 手动代码审查：这是最传统的代码审计方式，由经验丰富的开发人员或安全专家逐行阅读代码，查找可能存在的逻辑错误、安全漏洞以及违反编码规范的地方。这种方式能够发现自动化工具难以检测的复杂问题，但效率较低且对人员要求较高 。
- 静态应用安全测试（SAST）工具：这类工具可以在不运行程序的情况下分析源代码，识别常见的安全漏洞，如SQL注入、跨站脚本（XSS）、命令注入等。常用的SAST工具包括SonarQube、Checkmarx、Fortify等。这些工具可以快速扫描大量代码，提高审计效率，但可能会产生误报或漏报 。
- 动态应用安全测试（DAST）工具：与SAST不同，DAST工具在应用程序运行状态下进行测试，模拟攻击行为以检测漏洞。例如OWASP ZAP、Burp Suite等工具可以检测Web应用在实际运行中暴露的问题，如身份验证失败、会话管理不当等 。
- 威胁建模与安全设计评审：在开发早期阶段进行架构级别的安全评估，识别潜在的威胁点，并提出相应的防护措施。这一过程有助于从源头上减少漏洞的出现。
- 渗透测试：模拟真实攻击者的行为，尝试利用已知或未知的漏洞来突破系统防线。这种测试通常结合手动和自动手段进行，是验证系统安全性的重要方式 。
- 编码规范与最佳实践：建立统一的编码标准，强制开发人员遵循安全编码规范，如避免拼接SQL语句、使用参数化查询、限制用户输入长度等。此外，定期开展安全培训，提升团队整体的安全意识。
- 持续集成/持续部署（CI/CD）中的安全检查：将代码审计流程集成到CI/CD流水线中，确保每次提交都能自动进行安全扫描，及时发现并修复问题，防止漏洞进入生产环境。
