威胁模型

建立系统范围

先阅读实现与现有架构，再说明系统如何接收输入、保存数据和执行敏感操作。目标是给审查提供可验证范围，不是罗列通用漏洞类别。

• 入口与调用者，以及攻击者可控制的数据。
• 身份、租户、权限和最终授权位置。
• 敏感数据、凭据、特权操作与对外出口。
• 部署暴露面、依赖及优先审查路径。

写出具体安全不变量

例如，多租户账户接口接受用户 JSON 与上传文件。身份服务确认调用者，但每个处理路径仍须核对目标租户权限；费用变更只允许获批服务执行。审查应跟踪租户检查与上传内容是否能触及特权服务。

区分事实与假设

只有经过部署或控制证据核验，才能把接口写成“仅内部访问”。对未知网络边界、代理规则与服务身份列出问题，不用预期设计代替实际行为。

维护与复核

在团队认可的位置保存威胁模型，给审查任务提供明确文件和修订版本。认证、租户边界、外部服务或部署发生变化后更新，并说明本次重点；更新材料不会自动重新执行以往检查。