安全治理

背景： 我做了 3 年安全加固与风险防范，最常被产品/研发问的一句话就是："安全评审到底能不能卡上线？" 这背后其实是安全与交付速度的长期拉扯。今天想借这个帖子把几种做法摆出来，听听大家在真实项目里怎么选。 常见分歧 / 几种做法： 1.

先说背景：做了 15 年安全，我越来越觉得，漏洞本身其实好修，真正难修的是漏洞背后的"归属问题"。 打个比方：一栋楼着火了，消防队（安全团队）把火灭了，可第二天大家吵的不是"为什么着火"，而是"这层楼的物业到底算谁的"。我见过太多团队，漏洞