关于软件开发全生命周期中的安全管控，下列说法正确的是（ ）。
只在编码阶段进行安全管控即可
只在测试阶段进行安全管控即可
安全应贯穿需求、设计、开发、测试、运维全过程
安全只需要开发人员关注，与其他岗位无关
我国网络安全“三法两条例”中，专门规范个人信息处理活动的法律是（ ）。
《中华人民共和国网络安全法》
《中华人民共和国数据安全法》
《中华人民共和国个人信息保护法》
《关键信息基础设施安全保护条例》
在STRIDE威胁建模中，“普通用户获取管理员权限”属于哪一类威胁（ ）。
假冒（Spoofing）
篡改（Tampering）
拒绝服务（Denial of Service）
权限提升（Elevation of Privilege）
OWASP Top 10中的“注入漏洞”包括以下哪一项（ ）。
SQL注入
弱口令登录
安全日志缺失
敏感路径泄露
下列哪项是防御CSRF（跨站请求伪造）的有效措施（ ）。
表单添加Token并在服务器端校验
前端隐藏提交按钮
使用HTTP明文传输
登录后关闭浏览器Cookie
关于用户密码的存储，下列做法正确的是（ ）。
使用强哈希算法加盐后存储
以明文形式存储，便于查询
将密码硬编码在代码中
在日志中打印明文密码便于排查
“水平越权”指的是（ ）。
普通用户访问管理员功能
同级用户之间越权访问对方的数据
未登录直接访问系统
密码被暴力破解
测试人员在测试中发现安全漏洞后，正确的处理方式是（ ）。
记录并跟踪问题，推动修复后进行复测
不向任何人报告，继续测试
自行修改代码后直接上线
仅在群里简单通报一次
对敏感数据（如手机号、身份证号）进行脱敏处理，主要目的是（ ）。
让数据完全不可用
保护敏感信息的同时保留业务可用性
减少数据存储空间
提高系统运行速度
项目上线前进行安全测试与安全评估，主要作用是（ ）。
增加项目成本
发现并修复安全问题，避免“带病”上线
替代功能测试
拖延项目上线时间
安全开发只需要关注编码阶段，需求分析阶段不需要考虑安全问题。（ ）
对于用户输入的数据，系统必须进行严格校验，不能默认信任。（ ）
将数据库账号密码直接硬编码在代码中是安全的做法。（ ）
测试环境可以使用生产环境的真实数据，方便测试。（ ）
XSS（跨站脚本）漏洞可能导致攻击者窃取用户Cookie等信息。（ ）
弱口令是常见的安全问题，系统应设置密码复杂度策略。（ ）
开发、测试、生产环境应相互隔离，并落实职责分离。（ ）
第三方开源组件不需要关注漏洞，直接引入使用即可。（ ）
对充值、转账、密码找回等多步骤业务逻辑，应在需求设计阶段加入步骤校验。（ ）