Безопасность Python-бэкенда: что вы проверяете

Образцовый ответ: «Начинаю с контроля доступа, потому что это самая частая проблема: все эндпоинты требуют вход по умолчанию, данные фильтруются по владельцу или организации в одном месте, тесты проверяют доступ к чужим объектам. Против инъекций использую ORM и параметризованные запросы, а то, что нельзя параметризовать, например поле сортировки, беру из белого списка. В шаблонах не использую |safe на пользовательских данных, если нужен HTML, то санитайзер. Для API на cookie не отключаю CSRF. Внешние URL от пользователя скачиваю только через защиту от SSRF. Никаких pickle, eval, yaml.load и shell=True с внешними данными. Загрузки: свои имена файлов, проверка типа, лимит размера, отдача с отдельного домена. В настройках DEBUG=False, HTTPS и HSTS, Secure и HttpOnly у cookie, секреты в окружении, check --deploy в CI. Зависимости фиксирую lock-файлом и проверяю pip-audit или Dependabot. Плюс лимиты размера и частоты запросов, логирование событий безопасности без паролей и токенов в логах».