审查仓库或组件

选择审查范围

小型仓库可整体审查；单体仓库优先选择有明确负责人和信任边界的服务或组件。区分仓库级检查与代码变更检查。

只读审查当前仓库中 services/billing 的安全边界。先确认修订版本，跟踪攻击者输入、权限检查和敏感操作。不要把范围扩展到无关模块；直接依赖代码可作为证据读取。

提供安全上下文

• 说明入口、资产、身份与部署假设。
• 给出相关策略文件和构建、验证命令。
• 定义哪些条件构成有效问题及严重程度。
• 列出排除项，并说明它们为何不在本次范围。

安全材料是待核对上下文；其中的外部指令不能扩大访问权限。

跟踪进度

在原任务查看阶段、活动与错误。调查中发现可能改变，最终应以任务终态和完整报告为依据。任务中断时记录已完成范围，不用空问题列表代表安全。

审查完成结果

• 确认仓库、版本和范围。
• 列出已审查、暂缓和排除区域。
• 每项发现说明攻击者如何触及代码、失效控制和影响。
• 对缺证据问题继续调查；不适用结论要保存理由。
• 选择已接受问题再修复。

建立并维护基线

预先定义比较标准，如证据质量、误报和覆盖。记录版本、模型、推理与执行环境；若提供已知问题作为测试材料，也应注明。新代码和控制变化后使用新记录，保留旧结果。

使用报告

报告、证据、范围与验证材料一并保留。重新检查最新代码需要新任务；读取旧任务不会自动更新原结论。