安全的软件开发流程，不能过度依赖于WAF和渗透测试，威胁建模，自动化安全测试。