安全左移的ROI曲线：越早介入，成本呈指数级下降

在需求阶段发现一个设计缺陷的修复成本约为1x，在编码阶段发现约为6x，在测试阶段发现约为15x，在生产环境发现约为100x。这不是线性增长，而是指数级增长。因此，安全审查的最佳插入点不是上线前的安全测试，而是需求评审和架构设计阶段。