请解释代码审计的含义，并说明进行代码审计时需要重点检查哪些方面的问题？

回答思路

1. 【回答框架 1】代码审计是对源代码进行系统性审查，以发现安全漏洞、逻辑错误、性能问题和不合规编码等潜在风险。它不是简单的代码走查，而是针对安全和质量的专业评估过程。
2. 【回答框架 2】主要关注安全问题，包括注入类漏洞（SQL注入、XSS、命令注入）、认证与授权缺陷、敏感信息泄露、加密使用不当、不安全的反序列化等。通过分析数据流、可信边界和危险函数调用来定位这些风险。
3. 【回答框架 3】同时关注代码质量和规范性，如内存管理问题、并发安全、异常处理不当、日志记录缺失、不安全的默认配置，以及是否遵循行业安全编码标准（如OWASP Top 10、CWE）和团队规范。
4. 【回答框架 4】审计流程通常包括确定范围、建立威胁模型、结合静态分析与人工审查、验证漏洞可利用性、输出报告并提出修复方案。工具可辅助定位可疑点，但不可完全替代人工推理。
5. 【关键点 1】代码审计是主动发现安全漏洞和质量问题的过程，区别于被动测试。
6. 【关键点 2】核心聚焦安全漏洞，但同样覆盖逻辑错误和编码规范。
7. 【关键点 3】结合工具扫描与人工分析，重点看数据流和信任边界。
8. 【关键点 4】审计结果需提供可操作的修复建议。
9. 【易错点 1】仅依赖自动化工具不深入理解业务逻辑，会漏报逻辑漏洞。
10. 【易错点 2】将代码审计等同于代码走读，忽略安全攻击视角。
11. 【易错点 3】忽略第三方依赖和编译后文件的审计，导致覆盖不全。