2026年安全开发生命周期专家考试题库（附答案和详细解析）（0910）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期中，威胁建模活动通常最早出现在哪个阶段？

A.需求分析阶段

B.设计阶段

C.编码阶段

D.测试阶段

答案：B

解析：威胁建模旨在识别系统设计中的潜在安全威胁和攻击面，并据此确定安全控制措施，因此应在设计阶段早期进行。需求分析阶段主要收集安全需求，编码和测试阶段已进入实现和验证，此时再修改设计代价高且不彻底。错误选项中，A偏早，C和D偏晚，均不符合威胁建模的最佳实践。

下列哪一项是微软SDL（安全开发生命周期）的核心原则之一？

A.安全测试仅在项目发布后进行

B.通过持续培训提升开发人员安全意识

C.所有漏洞必须公开披露

D.安全活动可由非专业人员独立完成

答案：B

解析：微软SDL强调“教育是第一步”，通过持续的安全培训提升开发团队的安全意识和技能，是实施SDL的基础。A违反了安全活动前置的原则；C不是SDL原则，漏洞披露有合规流程；D忽视安全活动需要专业知识和角色分工。

在安全编码中，防止SQL注入最有效的措施是？

A.对用户输入进行黑名单过滤

B.使用参数化查询或预编译语句

C.在客户端进行输入验证

D.关闭数据库错误信息显示

答案：B

解析：参数化查询将SQL语句结构与数据分离，从机制上避免攻击者改变SQL语义，是防SQL注入的首选方案。黑名单过滤易被绕过；客户端