Secure Code Warrior provides one of the industry’s most comprehensive secure coding and AI security training catalogs, designed to help developers build safer software across modern development environments.

The SCW Learning Content Guide outlines the breadth and depth of training available across the Secure Code Warrior platform, including secure coding vulnerabilities, AI security topics, programming languages, frameworks, and role-based learning paths.

Inside the guide, you’ll find detailed coverage of training content mapped across common vulnerabilities, developer roles, and the technologies used in modern software development.

Download the guide to explore the full secure coding training catalog and discover how Secure Code Warrior helps organizations build lasting secure coding capability across engineering teams.

想攻克OWASP十大漏洞？立即下载《OWASP十大漏洞防御指南：2025版》——直击要害，零废话！

十大常见安全漏洞在您这样的技术精湛、注重质量的开发者面前毫无胜算。这本免费电子书是您理解OWASP 2025年度十大安全漏洞的终极指南，详解每个臭名昭著的漏洞及其运作机制。 

您将了解它们为何如此危险，更重要的是，如何将它们彻底从您的软件中清除。额外福利：本指南附有视频学习模块链接，助您提升技能。

您将：

• 学习如何识别并攻克常见漏洞，例如注入漏洞以及头号威胁——权限控制缺陷
• 深入探索全新主题，如软件供应链故障与特殊状况处理不当，获得新见解并进行实践学习。
• 理解为何安全编码和注重代码质量是降低漏洞风险和抵御网络攻击的坚实防线。

您准备好了吗？

定义一个敏捷的安全编码学习计划不是一件容易的事，特别是当有合规要求和发布期限需要满足时。但这是一个值得的努力，它将产生的好处，如提高生产力和减少风险。 

开发团队的安全成熟度是根据他们在软件开发生命周期的所有阶段向左转移并嵌入安全的集体能力来评估的，使具有安全技能的开发人员能够成为识别和修复漏洞的第一道防线。 

在本指南中，我们探讨了从三位现实生活中的Secure Code Warrior 客户那里学到的经验。通过学习他们的经验，你可以开始为你的组织组装一个敏捷的安全代码学习蓝图。

发现：

• 在开发者安全成熟度的不同阶段，组织面临哪些挑战？
• 一路走来，学到的关键经验是什么？
• 在安全成熟度旅程的每个阶段，你可以期待什么结果？

情况

在 Workday 通过Secure Code Warrior 实施敏捷学习之前，他们使用的是内部courses ，其中包括 PowerPoint 演示文稿的录音，内容涉及 OWASP 的十大漏洞和一些伪代码示例。负责安全开发人员培训的项目经理 Alex Uda 意识到，这并不能帮助他的团队和整个安全团队实现改善 Workday 整体安全状况的目标。由于开发人员很快就对培训失去了兴趣，他们决定开始征求他们的反馈意见，并注意到有两个项目不断出现：

1. 需要更多的实践型培训 
2. 需要更多针对具体语言的内容
   

行动 

在与开发人员合作的过程中，亚历克斯和他的团队确定了赢得开发人员支持的两大重点，以创建一个吸引人的、成功的安全代码学习计划。

简洁明了 

大多数开发人员并不具备安全知识。任何令人沮丧或耗费时间的事情都会导致开发人员转向变通方法和黑客手段。Workday 注意到，SCW 能让开发人员对流程有清晰的认识，拥有流程并将其整合到工作流程中。

可操作性和价值 

开发人员首先希望能够对影响代码库/生命周期的问题采取行动，而且要快。为此，开发人员需要了解如何操作。如果想让开发人员对安全等问题感兴趣，就必须突出这些主题的价值。

在构建计划方面，Alex 和他的团队首先收集了安全拥护者试点小组对平台的反馈意见，并与客户成功经理合作实施他们的建议。然后，Alex 和他的团队查看了他们的 SAST 工具以及有关事件和安全事件数量的不同指标，以评估他们当前环境中的最高风险是什么，以及整个行业正在发生什么。他们最初关注的是 OWASP Top 10 和 Workday
‍ 最常见的高风险漏洞。

"通过为开发人员提供学习机会和机构，SCW 使我们能够积极改进我们的软件安全性。这不仅仅是编写代码的问题，也是成长机会和职业发展机会的问题。Workday 支持安全计划的原因是，这是整个公司都支持的领域，因此开发人员有时间学习和发展。每周花两个小时进行一段时间的学习，有助于建立肌肉记忆的连贯性。"
‍

成果

传统上，人们很容易认为安全是开发流程的最后阶段。通过与安全团队合作，Workday 的开发人员现在将安全视为开发周期的重要组成部分。他们可以在 SDLC 的早期阶段快速执行安全项目，这是该计划最大的影响。对于一个位于都柏林的团队来说，他们的开发人员在大约 18 个月的时间内从 4662 个安全问题（平均每天 31.08 个问题）减少到了 0 个。

亚历克斯将该计划的发展描述为："在我们开始培养顶级安全拥护者之后，出现了滚雪球效应。随着我们向领导层宣传该计划及其益处，并不断增加我们的成员，我们几乎看到了口口相传的自然增长。从培训的角度来看，我们的目标是让我们的开发人员掌握安全开发代码的必要技能。随着 Workday 的不断发展，这一点尤为重要。

主要收获

Alex 认为： "为了成功地提高安全性，我们的开发人员必须具备安全思维，以帮助在软件开发的设计阶段识别安全风险。这符合我们的左移计划，即增强开发人员的能力，帮助他们节省时间、金钱和心血。我们在安全代码学习方面做得越好，我们从扫描和 pentest 结果中看到的漏洞就越少。

对于开发人员来说，在学习安全知识时享受乐趣是非常重要 的
SCW 很好地展示了学习安全知识的乐趣 。如果您正在参与安全学习，请完全接受它。将其视为开发过程和职业发展的一部分。

‍如果开发人员对安全问题感到好奇，鼓励他们主动联系团队
进行对话，并开始合作。

将安全作为黑盒子或项目的附属品是过时的，最终会损害软件
将安全作为开发流程的一部分--就像我们接受 TDD、敏捷和衬垫一样--将改善流程并提高交付给客户的软件质量。

‍

《2024年网络弹性法案》（CRA）是欧盟一项法规，为在欧盟境内销售的大多数含数字组件的产品引入了强制性网络安全要求。 该法案通过提升产品网络安全标准，要求制造商、进口商、分销商及零售商确保产品全生命周期内的网络安全。Secure Code Warrior 符合CRA要求的任务和概念学习集合，助力开发团队掌握"安全设计"、软件开发生命周期（SDLC）及安全编码技能，全面契合CRA的安全开发原则。

开发人员风险管理是一种全面、主动的应用程序安全方法，重点关注代码贡献者，而不是应用程序层本身的比特和字节。

在整个 SDLC 过程中主动测量、管理和减轻开发人员的安全风险，从而改善安全状况，更快地发布软件，并将漏洞减少 53% 或更多。

开发人员风险管理背后的理念是，通过提高代码贡献者的技能，并以编程方式对安全编码技能进行管理，开发人员驱动的安全代码计划的效益和影响将成倍增加。

OpenText Application Security（以前称为 Fortify）和Secure Code Warrior 携手合作，赋能开发者成为安全先锋，提升应用程序安全性。此次整合将提供有针对性的漏洞教育、更快的修复速度以及实践培训，帮助开发者从一开始就掌握编写安全代码的技能。

这种合作通过将安全嵌入软件开发生命周期，降低了安全风险，最大限度地减少了成本，简化了合规性，帮助公司建立客户信任，更快地交付高质量代码。

在我们的 One Pager 中了解更多有关合作的信息。

主要收获

荷兰商会（KVK）打造了一套现代化的、以开发者为先的安全计划，成为业界的典范。Secure Code Warrior编码实践融入日常开发工作流程，建立了全组织范围内的结构化认证体系，并实现了可量化的风险降低，充分展现了主动式、开发者驱动的安全策略的强大效能。主要亮点包括：

我们原本就拥有坚实的安全基础，但我们希望更进一步，让安全成为每位开发者的本能。因此我们Secure Code Warrior 合作Secure Code Warrior 将教育作为战略基石Secure Code Warrior 使团队从一开始就能充满信心地构建安全软件。

–塞巴斯蒂安·莱恩博特，开发服务产品负责人

挑战

建立以开发者为先的安全理念

荷兰商会（KVK）在支持全国企业家发展方面发挥着关键作用。作为负责注册企业、法人实体及经济活动组织的官方机构，KVK致力于提升商业生态系统的透明度与诚信度。除注册服务外，该机构还就创业核心议题提供宝贵信息与建议，涵盖法律法规指导、融资策略洞察、行业动态分析及网络安全防护等领域。 通过提供可靠数据并协同国家及地区经济利益相关方，KVK助力营造安全可靠、信息透明的创业环境。在推进应用安全升级之初，KVK已建立包括渗透测试在内的基础安全措施。尽管这些措施提供了宝贵洞察，KVK仍意识到需在开发生命周期更早期阶段扩展安全覆盖，并赋能开发人员主动承担风险管控责任。

2022年，KVKSecure Code Warrior 开发者为核心启动首个安全编码培训计划Secure Code Warrior 这项最初由基层推动的开发者参与计划，迅速发展为由领导层和首席信息安全官办公室支持的跨职能项目，将安全开发从愿景转化为组织标准。

解决方案

打造文化，而非仅仅建立项目

在首席信息安全官的赞助下，KVK的"安全软件开发生命周期"团队与Secure Code Warrior "合作Secure Code Warrior 全组织范围的战略，并建立了强制性的基于角色的认证计划，该计划：

KVKSecure Code Warrior灵活性，打造了契合其独特组织需求的认证体系。通过将培训项目与具体岗位职责相匹配，新员工从OWASP十大安全漏洞意识培训起步，而资深工程师则需应对基于真实工作流程的高级情景演练。冠军级开发者担任导师，推动知识共享，助力安全专长在团队间规模化传播。 该计划包含年度再认证机制以确保技能持续更新，随着组织不断扩大覆盖范围并适应AI驱动漏洞及新兴威胁等新型风险，认证体系的全面实施正在推进中。

“将认证融入开发流程是关键转折点，” 塞巴斯蒂安表示 ，“这向每位开发者表明：安全是共同的优先事项，也是构建软件的自然组成部分。Secure Code Warrior学习不再是单次活动，而是持续、情境化的过程，并无缝融入我们的日常开发文化。”

结果：培训内容既切合实际又切实可行，与开发人员的日常工作紧密相连。截至2024年初，90%的KVK开发人员已获得基础级认证—— 这一里程碑既验证了战略的正确性，也印证了向开发人员主导的安全模式转变的文化变革。

结果

切实成效，可量化进展

KVK与Secure Code Warrior 在安全开发领域的投资Secure Code Warrior 取得显著成效：

KVK依托SCW信任评分®——一项基于关键安全指标衡量组织对安全编码实践承诺程度的基准评估体系。在六个月内，KVK的信任评分显著提升，跻身全球组织前12%的行列。

“SCW信任评分让我们清晰地、基于数据地洞悉风险所在，并能将培训重点放在最关键的环节，”塞巴斯蒂安解释道 ，“它不仅是基准，更是指引我们验证进展、彰显安全开发真实商业价值的路线图。”

KVK携手Secure Code Warrior为开发者主导的安全性树立了全新标杆。通过整合强有力的领导力、清晰的战略规划与可量化的成果，他们将安全开发转化为核心业务能力——既满足合规要求，又成为行业典范。 凭借SCW报告与ISO 27001/27002认证标准的完全契合，KVK在审计过程中可有效验证其项目成效，证明安全开发不仅是推荐措施，更是强制要求。

KVK计划将认证项目从工程领域扩展至质量保证测试人员、DevOps及低代码开发者，强调安全是整个组织共同承担的责任。 他们还计划引入SCW专注于人工智能/大型语言模型的内容，帮助开发人员在使用GitHub Copilot等工具时实现安全编码，并正与SCW专业服务团队合作优化Trust Agent的部署。这些举措彰显了当安全编码成为全组织共同责任而非仅限开发人员时所能实现的突破。

Secure Code Warrior 的合作Secure Code Warrior 顺利且成效显著，” 塞巴斯蒂安表示 ，“他们协助我们实施并优化了培训计划，不仅显著降低了风险，更强化了安全开发的文化氛围。”

凭借Secure Code Warrior，KVK为安全开发奠定了坚实基础，而这仅仅是开始。