Threat-Informed Code Review

functional review প্রশ্ন করে:  এই input-এ এই output ঠিক আসছে কি?
security review প্রশ্ন করে:    কোন input-এ এই কোড ভুল আচরণ করবে,
                                আর সেই ভুল আচরণ কার জন্য উপকারী?

• মূল কাঠামো: প্রতিটা trust boundary-তে জিজ্ঞেস করা — এই পাশের assumption কি ওই পাশে explicit ভাবে যাচাই হয়েছে?
• Automated tooling (SAST, dependency scanner) syntactic pattern দ্রুত ধরে, কিন্তু IDOR-এর মতো semantic/business-logic bug ধরতে মানুষের review লাগে
• একবারের checklist না — প্রতিটা নতুন diff পড়ার একটা স্থায়ী, পুনরাবৃত্ত অভ্যাস
• Review-এর ফলাফল স্থায়ী করার একটা কার্যকর উপায়: found bug-কে একটা automated regression test-এ রূপান্তর করা