手工审查重点领域

- 输入验证和净化（以及缺失的地方） - 认证和会话管理 - 授权检查（特别是在API路由和数据访问中） - 加密（自定义实现、密钥管理） - 错误处理和信息泄露 - 并发和竞态条件 - 不可信数据反序列化 - 文件操作（路径遍历、上传、包含） - 数据库查询构造（SQL/NoSQL注入） - OS命令执行 - HTTP客户端代码中的SSRF - XML和YAML解析 - 正则表达式DoS（ReDoS） - 业务逻辑缺陷（工作流绕过、价格操纵）