Web 安全评审应覆盖输入校验、鉴权、权限、敏感数据、依赖、日志、上传和第三方集成。

技术设计文档应包含背景、目标、非目标、架构、数据流、风险、验证和发布计划。

测试计划应从需求风险出发，明确单测、集成测试、E2E、浏览器验收和人工检查的覆盖边界。

好用户故事应说明角色、目标、价值、业务规则和 Given-When-Then 验收标准。