2026年软件开发安全审计实操练习.docxVIP

第PAGE页共NUMPAGES页

2026年软件开发安全审计实操练习

一、单选题（共10题，每题2分，总计20分）

1.在审查一个电商平台的用户注册功能时，审计人员发现数据库中存储的密码未进行加盐处理。这种漏洞可能导致什么后果？

A.密码泄露后无法被破解

B.密码泄露后只能被暴力破解

C.密码泄露后可以通过彩虹表攻击快速还原

D.密码存储空间被压缩

答案：C

2.某企业使用OAuth2.0协议进行API认证。审计人员发现客户端在获取refreshtoken时未设置`scope`参数。这可能导致什么风险？

A.令牌无法刷新

B.客户端只能获取有限权限的令牌

C.攻击者可能通过刷新令牌获取未授权资源

D.令牌有效期缩短

答案：C

3.在审查一个JavaWeb应用的日志记录功能时，审计人员发现日志中直接输出了用户的敏感信息（如身份证号）。这种做法可能违反哪个安全原则？

A.最小权限原则

B.安全默认原则

C.安全日志原则

D.数据隐藏原则

答案：D

4.某公司使用JWT（JSONWebToken）进行身份验证。审计人员发现服务端在验证JWT签名时使用了固定的密钥。这种做法存在什么风险？

A.JWT无法被解析

B.JWT容易被篡改

C.JWT无法用于分布式环境

D.JWT有效期无法自定义

答案：B

5.在审查一个Python