2026年安全开发生命周期专家考试题库（附答案和详细解析）（0406）.docxVIP

安全开发生命周期专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

题目：在安全开发生命周期（SDLC）中，哪个阶段主要负责识别和定义安全需求？

A.规划阶段

B.设计阶段

C.开发阶段

D.测试阶段

答案：A

解析：规划阶段涉及安全需求分析，包括识别业务风险、合规要求等，为后续阶段提供基础。选项B（设计阶段）关注威胁建模和架构设计，C（开发阶段）聚焦编码实践，D（测试阶段）负责漏洞验证，均非初始需求定义阶段。

题目：OWASPTop10中最常见的Web应用漏洞类型是什么？

A.SQL注入

B.跨站脚本（XSS）

C.跨站请求伪造（CSRF）

D.缓冲区溢出

答案：A

解析：SQL注入长期位居OWASPTop10榜首，因为它允许攻击者操纵数据库查询。选项B（XSS）是常见但非最频发漏洞，C（CSRF）和D（缓冲区溢出）在Web应用中较少见，属于其他领域。

题目：安全设计原则中的“最小权限”指的是什么？

A.用户和进程只应获得执行任务所必需的最低权限

B.所有用户应拥有管理员权限以简化管理

C.权限应基于角色最大化分配

D.权限设置应忽略业务需求

答案：A

解析：最小权限原则旨在减少攻击面，防止权限滥用。选项B、C违反安全原则，可能导致权限升级漏洞；D忽略了需求分析，不符合SDLC流程。

题目：在安全测试中，哪种方法用于