2026年安全开发生命周期专家考试题库（附答案和详细解析）（0629）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心阶段不包括以下哪一项？A.需求分析B.设计评审C.运维监控D.代码审计答案：C解析：SDL的核心阶段包括需求分析、设计、编码、测试、部署和维护，运维监控属于系统运行阶段而非SDL本身。

在安全开发生命周期中，哪项活动通常最先进行？A.代码审计B.需求安全分析C.安全测试D.设计评审答案：B解析：需求安全分析应在SDL早期进行，以识别潜在的安全威胁和合规要求。

以下哪项不是威胁建模的主要方法？A.STRIDE模型B.PASTA模型C.风险矩阵D.DREAD评估答案：C解析：风险矩阵是风险评估工具，而非威胁建模方法。STRIDE、PASTA、DREAD均为威胁建模模型。

在安全编码实践中，以下哪项做法是错误的？A.使用静态代码分析工具B.避免使用字符串拼接操作C.直接存储明文密码D.进行代码审查答案：C解析：明文存储密码是严重的安全隐患，应使用哈希加盐等加密方式。

安全测试的主要目的是什么？A.证明系统没有漏洞B.发现并修复系统漏洞C.提高系统性能D.优化用户界面答案：B解析：安全测试的核心是识别漏洞，而非证明不存在漏洞（无法证明完备性）。

以下哪项不属于安全设计原则？A.最小权限原